CVE-2026-21045 और CVE-2026-21048 — Samsung libimagecodec.quram.so OOB राइट PoC

अवलोकन

इस रिपॉजिटरी में अवधारणात्मक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) फ़ाइलें हैं जो Samsung Android उपकरणों पर उपयोग की जाने वाली Quramsoft इमेज कोडेक लाइब्रेरी (libimagecodec.quram.so) में आउट-ऑफ-बाउंड्स (OOB) राइट कमजोरियों का प्रदर्शन करती हैं।

प्रभावित उपकरण

• Samsung Galaxy उपकरण जो Android 14, 15, 16 चलाते हैं
• विशेष रूप से: Galaxy Z Fold 7, Flip 7, S-सीरीज़, A-सीरीज़ (जैसे, A17)
• सुरक्षा पैच SMR Jul-2026 Release 1 से पहले वाले उपकरण
• लाइब्रेरी: /system/lib64/libimagecodec.quram.so

कमजोरी तंत्र

मूल कारण

कमजोरी IFD (इमेज फ़ाइल डायरेक्टरी) टैग पार्सिंग फ़ंक्शन WINKJ_ReadExifField (64-बिट बाइनरी में ऑफसेट 0x13a0a8) में रहती है। यह फ़ंक्शन व्यक्तिगत TIFF/EXIF IFD प्रविष्टियों को संसाधित करता है, प्रत्येक 12-बाइट संरचना होती है:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

जब count * element_size > 4, तब 4-बाइट Value फ़ील्ड को फ़ाइल ऑफसेट के रूप में माना जाता है (जो वास्तविक डेटा के स्थान को इंगित करता है)। कोड फिर पते 0x13a258 पर एक सीमा जांच करता है:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

पूर्णांक अतिप्रवाह बायपास

कमजोरी जोड़ में 32-बिट अहस्ताक्षरित पूर्णांक अतिप्रवाह है। यदि कोई हमलावर value_offset और count * element_size को इस प्रकार तैयार करता है कि उनका योग एक छोटे मान में लपेट जाए, तो जांच पास हो जाती है, भले ही base + value_offset पर वास्तविक मेमोरी एक्सेस सीमा से बाहर चला जाए।

उदाहरण (UNDEFINED प्रकार, element_size = 1):

32-बिट जोड़ 0x17FFF + 0xFFFF0001 = 0x10008000 को काटकर 0x8000 कर दिया जाता है, जो buffer_size के बराबर है। जांच पास हो जाती है, लेकिन वास्तविक डेटा पॉइंटर (base + 0x17FFF) आवंटित बफर के अंत से 0x7FFF बाइट आगे स्थित होता है।

कमजोर कोड पथ

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

PoC फ़ाइलें

उपयोग

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

अपेक्षित व्यवहार

एक अनपैच्ड डिवाइस पर (सुरक्षा पैच < जुलाई 2026), Samsung गैलरी (या Quram डिकोडर का उपयोग करने वाले किसी भी ऐप) में निर्मित TIFF/DNG फ़ाइल खोलने से हीप मेमोरी भ्रष्टाचार हो सकता है जो संभावित रूप से इनकी ओर ले जाता है:

• एप्लिकेशन क्रैश (SIGSEGV/SIGABRT)
• आउट-ऑफ-बाउंड्स हीप राइट
• विशिष्ट हीप लेआउट के तहत: संभावित मनमाना कोड निष्पादन

एक पैच किए गए डिवाइस पर (SMR Jul-2026+), छवि को या तो अमान्य के रूप में अस्वीकार कर दिया जाना चाहिए या सुरक्षित रूप से संसाधित किया जाना चाहिए। पूरी तरह से पैच किए गए डिवाइस पर क्रैश एक अलग अनपैच की गई समस्या का संकेत दे सकता है।

बाइनरी विश्लेषण विवरण

लाइब्रेरी जानकारी

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

मुख्य फ़ंक्शन

डिस्पैच तालिका (टैग प्रकार → हैंडलर)

WINKJ_ReadExifField से निकाला गया:

element_size = 1 वाले सभी प्रकार (BYTE, ASCII, UNDEFINED) एक ही हैंडलर साझा करते हैं और पूर्णांक अतिप्रवाह बायपास के लिए समान रूप से कमजोर हैं।

संबंधित CVE

अस्वीकरण

ये प्रूफ ऑफ कॉन्सेप्ट केवल शैक्षिक और सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान किए गए हैं। ये कमजोरी तंत्र का प्रदर्शन करते हैं ताकि उपयोगकर्ताओं और डेवलपर्स को जोखिम समझने में मदद मिल सके। उन प्रणालियों के खिलाफ इनका उपयोग न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति नहीं है।

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0