CVE-2026-21045 & CVE-2026-21048 — PoC di scrittura OOB in libimagecodec.quram.so di Samsung

Panoramica

Questo repository contiene file Proof-of-Concept (PoC) concettuali che dimostrano vulnerabilità di scrittura fuori dai limiti (OOB) nella libreria codec immagini Quramsoft (libimagecodec.quram.so) utilizzata sui dispositivi Android Samsung.

Dispositivi interessati

• Dispositivi Samsung Galaxy con Android 14, 15, 16
• In particolare: Galaxy Z Fold 7, Flip 7, serie S, serie A (es. A17)
• Dispositivi con patch di sicurezza precedente a SMR Jul-2026 Release 1
• Libreria: /system/lib64/libimagecodec.quram.so

Meccanismo della vulnerabilità

Causa principale

La vulnerabilità risiede nella funzione di parsing dei tag IFD (Image File Directory) WINKJ_ReadExifField (offset 0x13a0a8 nel binario a 64 bit). Questa funzione elabora singole voci IFD TIFF/EXIF, ciascuna delle quali è una struttura di 12 byte:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

Quando count * element_size > 4, il campo Value a 4 byte viene trattato come un offset di file (che punta a dove risiedono i dati effettivi). Il codice esegue quindi un controllo dei limiti all'indirizzo 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Bypass tramite integer overflow

La vulnerabilità è un overflow di intero senza segno a 32 bit nell'addizione. Se un attaccante costruisce value_offset e count * element_size in modo che la loro somma subisca un wrap-around verso un valore piccolo, il controllo viene superato anche se l'accesso effettivo alla memoria all'indirizzo base + value_offset avviene fuori dai limiti.

Esempio (tipo UNDEFINED, element_size = 1):

L'addizione a 32 bit 0x17FFF + 0xFFFF0001 = 0x10008000 viene troncata a 0x8000, che equivale a buffer_size. Il controllo viene superato, ma il puntatore dati effettivo (base + 0x17FFF) si trova 0x7FFF byte oltre la fine del buffer allocato.

Percorso del codice vulnerabile

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

File PoC

Utilizzo

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Comportamento atteso

Su un dispositivo non patchato (patch di sicurezza precedente a luglio 2026), l'apertura del file TIFF/DNG appositamente costruito in Samsung Gallery (o in qualsiasi app che usa il decoder Quram) dovrebbe causare una corruzione della memoria heap che potrebbe portare a:

• Crash dell'applicazione (SIGSEGV/SIGABRT)
• Scrittura heap fuori dai limiti
• Con specifici layout di heap: potenziale esecuzione arbitraria di codice

Su un dispositivo patchato (SMR Jul-2026+), l'immagine dovrebbe essere rifiutata come non valida oppure elaborata in modo sicuro. Un crash su un dispositivo completamente patchato può indicare un problema separato non ancora corretto.

Dettagli sull'analisi binaria

Informazioni sulla libreria

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

Funzioni principali

Tabella di dispatch (tipo di tag → handler)

Estratta da WINKJ_ReadExifField:

Tutti i tipi con element_size = 1 (BYTE, ASCII, UNDEFINED) condividono lo stesso handler e sono ugualmente vulnerabili al bypass tramite integer overflow.

CVE correlati

Disclaimer

Questi proof of concept sono forniti solo a scopo educativo e di ricerca sulla sicurezza. Dimostrano il meccanismo della vulnerabilità per aiutare utenti e sviluppatori a comprenderne il rischio. Non utilizzarli contro sistemi di cui non sei proprietario o per i quali non hai un'autorizzazione esplicita al test.

Riferimenti

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0