CVE-2026-21045 и CVE-2026-21048 — PoC выхода за границы записи в Samsung libimagecodec.quram.so

Обзор

Этот репозиторий содержит концептуальные PoC-файлы, демонстрирующие уязвимости записи за пределами границ (OOB) в библиотеке кодеков изображений Quramsoft (libimagecodec.quram.so), используемой на устройствах Samsung Android.

Затронутые устройства

• Устройства Samsung Galaxy под управлением Android 14, 15, 16
• В частности: Galaxy Z Fold 7, Flip 7, S-серия, A-серия (например, A17)
• Устройства с патчем безопасности до SMR Jul-2026 Release 1
• Библиотека: /system/lib64/libimagecodec.quram.so

Механизм уязвимости

Корневая причина

Уязвимость находится в функции разбора тегов IFD (Image File Directory) WINKJ_ReadExifField (смещение 0x13a0a8 в 64-битном бинарном файле). Эта функция обрабатывает отдельные записи IFD TIFF/EXIF, каждая из которых представляет собой 12-байтовую структуру:

Смещение  Размер  Поле
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

Когда count * element_size > 4, 4-байтовое поле Value рассматривается как смещение в файле (указывающее на фактические данные). Затем код выполняет проверку границ по адресу 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Обход целочисленного переполнения

Уязвимость представляет собой 32-битное целочисленное переполнение без знака при сложении. Если злоумышленник подберет value_offset и count * element_size так, чтобы их сумма переполнилась до малого значения, проверка пройдёт, хотя фактический доступ к памяти по адресу base + value_offset выходит за границы.

Пример (тип UNDEFINED, element_size = 1):

32-битное сложение 0x17FFF + 0xFFFF0001 = 0x10008000 усекается до 0x8000, что равно buffer_size. Проверка проходит, но фактический указатель данных (base + 0x17FFF) находится на 0x7FFF байт за концом выделенного буфера.

Уязвимый путь кода

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

PoC-файлы

Использование

# Генерация PoC для TIFF
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Генерация PoC для DNG
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Передача на устройство и запуск (например, через Галерею/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Ожидаемое поведение

На неисправленном устройстве (патч безопасности до июля 2026) открытие поддельного файла TIFF/DNG в Samsung Gallery (или любом приложении, использующем декодер Quram) должно вызвать повреждение кучи, что потенциально может привести к:

• Сбой приложения (SIGSEGV/SIGABRT)
• Запись за границы кучи
• При определённых раскладках кучи: потенциальное произвольное выполнение кода

На исправленном устройстве (SMR Jul-2026+) изображение должно либо быть отклонено как недействительное, либо обработано безопасно. Сбой на полностью исправленном устройстве может указывать на отдельную неисправленную проблему.

Детали анализа бинарного файла

Информация о библиотеке

Файл:   libimagecodec.quram.so (64‑битный)
SHA256: (проверьте по своей копии)
NDK:    r23c (Android 21)
Собран: 2021-12-31 (заглушка)
Soname: libimagecodec.quram.so

Ключевые функции

Таблица диспетчеризации (Тип тега → Обработчик)

Извлечено из WINKJ_ReadExifField:

Все типы с element_size = 1 (BYTE, ASCII, UNDEFINED) используют один и тот же обработчик и одинаково уязвимы для обхода целочисленного переполнения.

Связанные CVE

Отказ от ответственности

Эти PoC предоставлены исключительно для образовательных целей и исследований в области безопасности. Они демонстрируют механизм уязвимости, чтобы помочь пользователям и разработчикам понять риск. Не используйте их против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0