CVE-2026-21045 & CVE-2026-21048 — Samsung libimagecodec.quram.so OOB 書き込み PoC

概要

このリポジトリには、Samsung Android デバイスで使用されている Quramsoft 画像コーデックライブラリ (libimagecodec.quram.so) における領域外 (OOB) 書き込みの脆弱性を示す概念実証 (PoC) ファイルが含まれています。

影響を受けるデバイス

• Android 14、15、16 を実行している Samsung Galaxy デバイス
• 具体的には: Galaxy Z Fold 7、Flip 7、S シリーズ、A シリーズ (例: A17)
• セキュリティパッチが SMR Jul-2026 Release 1 より前のデバイス
• ライブラリ: /system/lib64/libimagecodec.quram.so

脆弱性のメカニズム

根本原因

この脆弱性は、IFD (Image File Directory) タグ解析関数 WINKJ_ReadExifField (64 ビットバイナリ内オフセット 0x13a0a8) に存在します。この関数は個々の TIFF/EXIF IFD エントリを処理します。各エントリは 12 バイトの構造体です:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

count * element_size > 4 の場合、4 バイトの Value フィールドはファイルオフセット (実際のデータが存在する場所を指す) として扱われます。その後、コードはアドレス 0x13a258 で境界チェックを実行します:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

整数オーバーフローによるバイパス

この脆弱性は、加算における32 ビット符号なし整数オーバーフローです。攻撃者が value_offset と count * element_size を、それらの合計が小さな値にラップアラウンドするように細工した場合、base + value_offset での実際のメモリアクセスが範囲外になるにもかかわらず、チェックは通過します。

例 (UNDEFINED 型、element_size = 1):

32 ビット加算 0x17FFF + 0xFFFF0001 = 0x10008000 は 0x8000 に切り詰められ、これは buffer_size と等しくなります。チェックは通過しますが、実際のデータポインタ (base + 0x17FFF) は、割り当てられたバッファの終端から 0x7FFF バイト先に位置します。

脆弱なコードパス

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

PoC ファイル

使用方法

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

期待される動作

パッチ未適用デバイス (セキュリティパッチ < 2026 年 7 月) で、Samsung Gallery (または Quram デコーダを使用する任意のアプリ) で細工された TIFF/DNG ファイルを開くと、ヒープメモリ破壊が発生し、以下につながる可能性があります:

• アプリケーションのクラッシュ (SIGSEGV/SIGABRT)
• ヒープへの領域外書き込み
• 特定のヒープレイアウト下では: 任意のコード実行の可能性

パッチ適用済みデバイス (SMR Jul-2026+) では、画像は無効として拒否されるか、安全に処理されます。完全にパッチが適用されたデバイスでのクラッシュは、別の未パッチの問題を示している可能性があります。

バイナリ解析の詳細

ライブラリ情報

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

主要関数

ディスパッチテーブル (タグタイプ → ハンドラ)

WINKJ_ReadExifField から抽出:

element_size = 1 のすべてのタイプ (BYTE、ASCII、UNDEFINED) は同じハンドラを共有し、整数オーバーフローによるバイパスに対して同様に脆弱です。

関連 CVE

免責事項

これらの概念実証は、教育およびセキュリティ研究目的のみで提供されます。これらは、ユーザーと開発者がリスクを理解できるよう、脆弱性のメカニズムを実証するものです。所有していないシステム、またはテストする明示的な許可を得ていないシステムに対しては使用しないでください。

参照

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0