CVE-2026-21045 и CVE-2026-21048 — Samsung libimagecodec.quram.so — PoC OOB-записи

Обзор

Этот репозиторий содержит концептуальные файлы Proof-of-Concept (PoC), демонстрирующие уязвимости записи за пределами границ (out-of-bounds, OOB) в библиотеке кодека изображений Quramsoft (libimagecodec.quram.so), используемой на устройствах Samsung под управлением Android.

Затронутые устройства

• Устройства Samsung Galaxy под управлением Android 14, 15, 16
• В частности: Galaxy Z Fold 7, Flip 7, S-серия, A-серия (например, A17)
• Устройства с патчем безопасности до SMR Jul-2026 Release 1
• Библиотека: /system/lib64/libimagecodec.quram.so

Механизм уязвимости

Корневая причина

Уязвимость находится в функции разбора тегов IFD (Image File Directory) WINKJ_ReadExifField (смещение 0x13a0a8 в 64-разрядном бинарном файле). Эта функция обрабатывает отдельные записи IFD TIFF/EXIF, каждая из которых представляет собой 12-байтовую структуру:

Offset  Size  Field
------  ----  -----
0       2     Tag ID
2       2     Data Type (1=BYTE, 2=ASCII, 3=SHORT, 4=LONG, 5=RATIONAL, etc.)
4       4     Count (number of values)
8       4     Value / Offset to data

Когда count * element_size > 4, 4-байтовое поле Value рассматривается как смещение в файле (указывающее на фактические данные). Затем код выполняет проверку границ по адресу 0x13a258:

add w8, w6, w7    ; w8 = value_offset + (count * element_size)  [32-bit]
cmp w8, w5        ; compare against remaining buffer size
b.ls ok           ; if w8 <= buffer_size, proceed

Обход через переполнение целого числа

Уязвимость представляет собой 32-битное переполнение беззнакового целого при сложении. Если злоумышленник подберёт value_offset и count * element_size так, чтобы их сумма заворачивалась до малого значения, проверка проходит, даже если фактическое обращение к памяти по адресу base + value_offset выходит за границы.

Пример (тип UNDEFINED, element_size = 1):

32-битное сложение 0x17FFF + 0xFFFF0001 = 0x10008000 усекается до 0x8000, что равно buffer_size. Проверка проходит, но фактический указатель на данные (base + 0x17FFF) находится на 0x7FFF байт за концом выделенного буфера.

Уязвимый путь выполнения кода

TIFFReadDirectory / WINKJ_ReadTiffInfo
  └─> WINKJ_ReadTiffIFDInfo   (allocates IFD buffer)
       └─> for each IFD entry:
            └─> WINKJ_ReadExifField   (parses entry, reads value data)
                 └─> Switch on Data Type (jump table at 0x13a15c)
                      ├─ Type 0 (BYTE/ASCII/UNDEFINED):  handler at 0x13a15c
                      ├─ Type 3/8 (SHORT/SSHORT):       handler at 0x13a1d0
                      ├─ Type 4/9/11 (LONG/SLONG/FLOAT): handler at 0x13a17c
                      └─ Type 5/10/12 (RATIONAL/SRATIONAL/DOUBLE): handler at 0x13a1ac
                      Each handler -> reads data at offset -> bounds check at 0x13a258

Файлы PoC

Использование

# Generate TIFF PoC
python3 cve-2026-21045_tiff_oob_poc.py -o payload.tif

# Generate DNG PoC
python3 cve-2026-21048_dng_oob_poc.py -o payload.dng

# Transfer to device and trigger (e.g., via Gallery/MMS)
adb push payload.tif /sdcard/Download/
adb shell am start -a android.intent.action.VIEW -d file:///sdcard/Download/payload.tif -t image/tiff

Ожидаемое поведение

На непропатченном устройстве (патч безопасности < июля 2026) открытие подготовленного файла TIFF/DNG в Samsung Gallery (или в любом приложении, использующем декодер Quram) должно вызвать повреждение кучи (heap corruption), что потенциально может привести к:

• Падению приложения (SIGSEGV/SIGABRT)
• Записи за пределами границ в куче
• При определённых раскладках кучи: потенциальному произвольному выполнению кода

На пропатченном устройстве (SMR Jul-2026+) изображение должно либо отклоняться как недействительное, либо безопасно обрабатываться. Падение на полностью пропатченном устройстве может указывать на отдельную неисправленную проблему.

Детали анализа бинарного файла

Информация о библиотеке

File:   libimagecodec.quram.so (64-bit)
SHA256: (verify against your copy)
NDK:    r23c (Android 21)
Built:  2021-12-31 (placeholder date)
Soname: libimagecodec.quram.so

Ключевые функции

Таблица диспетчеризации (тип тега → обработчик)

Все типы с element_size = 1 (BYTE, ASCII, UNDEFINED) используют один и тот же обработчик и одинаково уязвимы к обходу через переполнение целого числа.

Связанные CVE

Отказ от ответственности

Эти концептуальные доказательства (proofs of concept) предоставлены исключительно в образовательных целях и для исследований в области безопасности. Они демонстрируют механизм уязвимости, помогая пользователям и разработчикам понять риск. Не используйте их против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2026-21045
• https://nvd.nist.gov/vuln/detail/CVE-2026-21048
• https://security.samsungmobile.com/securityUpdate.smsb
• https://gitlab.com/libtiff/libtiff/-/releases/v4.6.0