CVE-2026-21045 & CVE-2026-21048 — सैमसंग libimagecodec.quram.so OOB राइट PoC

अवलोकन

इस रिपॉजिटरी में अवधारणात्मक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) फ़ाइलें हैं जो सैमसंग एंड्रॉइड डिवाइसों पर उपयोग होने वाली Quramsoft इमेज कोडेक लाइब्रेरी (libimagecodec.quram.so) में आउट-ऑफ-बाउंड (OOB) राइट कमजोरियों को प्रदर्शित करती हैं।

प्रभावित डिवाइस

• सैमसंग गैलेक्सी डिवाइस जो Android 14, 15, 16 चला रहे हैं
• विशेष रूप से: Galaxy Z Fold 7, Flip 7, S-सीरीज़, A-सीरीज़ (जैसे, A17)
• सुरक्षा पैच SMR Jul-2026 Release 1 से पहले वाले डिवाइस
• लाइब्रेरी: /system/lib64/libimagecodec.quram.so

कमजोरी का तंत्र

मूल कारण

यह कमजोरी IFD (इमेज फ़ाइल डायरेक्टरी) टैग पार्सिंग फ़ंक्शन WINKJ_ReadExifField (64-बिट बाइनरी में ऑफ़सेट 0x13a0a8) में स्थित है। यह फ़ंक्शन व्यक्तिगत TIFF/EXIF IFD प्रविष्टियों को संसाधित करता है, जिनमें से प्रत्येक एक 12-बाइट संरचना है:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

जब count * element_size > 4 होता है, तो 4-बाइट Value फ़ील्ड को फ़ाइल ऑफ़सेट के रूप में माना जाता है (जहाँ वास्तविक डेटा रहता है)। कोड फिर पते 0x13a258 पर बाउंड्स जाँच करता है:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

इंटीजर ओवरफ़्लो बायपास

यह कमजोरी योग में 32-बिट अहस्ताक्षरित इंटीजर ओवरफ़्लो है। यदि कोई हमलावर value_offset और count * element_size को इस तरह तैयार करता है कि उनका योग छोटे मान में लपेट जाए, तो जाँच पास हो जाती है, भले ही base + value_offset पर वास्तविक मेमोरी एक्सेस सीमा से बाहर हो।

उदाहरण (UNDEFINED प्रकार, element_size = 1):

32-बिट जोड़ 0x17FFF + 0xFFFF0001 = 0x10008000 घटकर 0x8000 हो जाता है, जो buffer_size के बराबर है। जाँच पास हो जाती है, लेकिन वास्तविक डेटा पॉइंटर (base + 0x17FFF) आवंटित बफ़र के अंत से 0x7FFF बाइट आगे स्थित है।

कमजोर कोड पथ

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

PoC फ़ाइलें

उपयोग

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

अपेक्षित व्यवहार

एक अनपैच्ड डिवाइस (सुरक्षा पैच < जुलाई 2026) पर, सैमसंग गैलरी (या Quram डिकोडर का उपयोग करने वाले किसी भी ऐप) में क्राफ्टेड TIFF/DNG फ़ाइल खोलने से हीप मेमोरी क्षति हो सकती है, जिससे संभावित रूप से:

• एप्लिकेशन क्रैश (SIGSEGV/SIGABRT)
• सीमा से बाहर हीप राइट
• विशिष्ट हीप लेआउट के तहत: संभावित मनमाना कोड निष्पादन

एक पैच्ड डिवाइस (SMR Jul-2026+) पर, इमेज को या तो अमान्य के रूप में अस्वीकार किया जाना चाहिए या सुरक्षित रूप से संसाधित किया जाना चाहिए। पूरी तरह से पैच किए गए डिवाइस पर क्रैश एक अलग अनपैच्ड समस्या का संकेत दे सकता है।

बाइनरी विश्लेषण विवरण

लाइब्रेरी जानकारी

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

मुख्य फ़ंक्शन

डिस्पैच तालिका (टैग प्रकार → हैंडलर)

element_size = 1 वाले सभी प्रकार (BYTE, ASCII, UNDEFINED) एक ही हैंडलर साझा करते हैं और इंटीजर ओवरफ़्लो बायपास के लिए समान रूप से कमजोर हैं।

संबंधित CVE

अस्वीकरण

ये प्रूफ-ऑफ-कॉन्सेप्ट केवल शैक्षिक और सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान किए गए हैं। ये कमजोरी की प्रक्रिया को प्रदर्शित करते हैं ताकि उपयोगकर्ताओं और डेवलपर्स को जोखिम समझने में मदद मिले। इन्हें उन सिस्टमों के खिलाफ उपयोग न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए स्पष्ट अनुमति नहीं है।

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0