defineid/palimpsestCVE-2026-74945 · Divulgação de heap não inicializado por meio de uma fonte web maliciosamente elaborada (sec-high)
Severidade de segurança: alta. CWE 908 e CWE 200. Corrigido no Firefox 154. Bugzilla 2057808. Acessível a partir de uma página web comum por meio de @font-face.
O Firefox sanitiza fontes web por meio do OTS antes do uso. Três defeitos se alinham de modo que uma fonte adulterada entrega heap de processo não inicializado de volta à página. Uma única chamada measureText o lê aproximadamente dois bytes por vez em uma janela de 64 KB.
O fluxo de saída do OTS cresce com moz_xrealloc, que nunca zera a memória. Seu Seek aceita qualquer posição até o tamanho da alocação e nunca preenche a lacuna com zeros. forget dimensiona o buffer para o maior deslocamento alcançado. Qualquer lacuna entre a última gravação e um Seek para frente é, portanto, entregue ao chamador carregando heap antigo.
Uma subtabela cmap formato 14 com um nonDefaultUVSOffset grande faz o serializador executar um Seek para frente e deixar a lacuna dentro da fonte emitida. Uma subtabela formato 4 complementar com um id_range_offset ímpar no último segmento é emitida exatamente como está. A verificação de limites da busca de glifos usa o restante do cmap inteiro em vez da subtabela. Um salto para a região vizinha da subtabela passa.
MapCharToGlyphFormat4 cai no segmento adulterado e retorna um id de glifo lido da lacuna. Seu avanço hmtx é diretamente mensurável a partir do canvas.
pip install fonttools brotli
python3 make_poc_font.py # builds poc.woff
# serve this folder and open poc.html
poc.html imprime a largura de avanço de U+FFFF a cada leitura. Cada valor rastreia um id de glifo lido da lacuna. Para ver bytes não inicializados diferentes de zero, use uma compilação do mozjemalloc com MSan ou com preenchimento de lixo. Afetado no Windows via DWrite e no macOS via CoreText. O OTS roda no processo e não é isolado em sandbox.
Uma divulgação controlável pela web e repetível de heap de processo não inicializado. Pode revelar ponteiros ou segredos.
Duas alterações. Qualquer uma delas quebra a cadeia. Zerar o intervalo recém-alocado no fluxo de saída do OTS. Verificar o comprimento da subtabela formato 4 para que a busca não possa limitar-se ao restante do cmap. O Firefox aplicou ambas.
Abdulaziz Alasaiqah · https://azoz.my/writeups.html