Выполнение воспроизвело ошибку сегментации, вызванную недопустимым чтением памяти. Трассировка стека AddressSanitizer выявила сбой во время операции memmove, вызванной из TIFFReadRGBATileExt.

Анализ первопричины

С помощью GDB условие сбоя было воспроизведено со следующими значениями во время выполнения:

Затем выполнялся уязвимый код:

При наблюдаемых значениях это вычисление выглядит так:

Поскольку read_ysize является беззнаковым, результат был свёрнут до:

что соответствует UINT32_MAX.

Значение read_ysize впоследствии использовалось в вычислении указателя источника для memmove.

Непосредственно перед сбойным memmove GDB показал:

Указатель назначения вычислился как:

что являлось началом буфера raster.

Указатель источника вычислился как:

Вычисленный указатель источника находился на 17179869176 байт, примерно 16 ГиБ, за пределами начала буфера raster.

Выполнение memmove в GDB привело к:

Трассировка стека показала следующий путь сбоя:

Это подтверждает, что беззнаковое переполнение в read_ysize привело к смещению источника за пределы допустимого диапазона. Полученный недопустимый указатель источника затем использовался memmove, что вызвало недопустимое чтение памяти и ошибку сегментации.

Анализ исправления и проверка исправленной версии

Исправление в апстриме добавило явную проверку границ перед уязвимым вычислением read_ysize:

С помощью GDB в исправленной версии были получены следующие значения во время выполнения:

Для этих значений новое условие проверки принимает значение true, поскольку:

Таким образом, функция сообщила:

и вернула 0.

В результате выполнение не достигло уязвимого вычисления:

Это предотвращает беззнаковое переполнение, наблюдаемое в уязвимой версии, и не позволяет недопустимому значению использоваться в последующем вычислении указателя источника для memmove.

Анализ репро-файла и предусловия

Исходный репро-файл некорректно вычисляет количество тайлов вдоль оси Y.

Соответствующий код передаёт возвращаемое значение TIFFGetField() напрямую как координату Y в TIFFComputeTile():

С помощью GDB было установлено, что tile_height содержит:

Однако TIFFGetField() вернул:

Возвращаемое значение указывает на успех; это не высота изображения. Поэтому вызов фактически становится:

Для этого TIFF GDB показал, что этот вызов возвращает:

Это значение является индексом тайла, а не количеством тайлов вдоль оси Y.

Затем исходный репро-файл использовал это значение в своём вычислении num_tiles_y, что привело к:

Однако размеры изображения и тайла составляют:

Следовательно, правильное количество тайлов вдоль оси Y равно:

Некорректное значение 63 приводит к тому, что цикл выполняется со значениями Y от 0 до 62, хотя высота изображения равна 33, а допустимые координаты Y находятся только в диапазоне от 0 до 32.

Это позволяет передать недопустимое значение, такое как:

в TIFFReadRGBATileExt.

Уязвимая версия libtiff не отклоняла эту координату за пределами допустимого диапазона перед выполнением беззнакового вычисления img.height - row. Это позволило недопустимому входному значению API, сгенерированному репро-файлом, превратиться в отказ безопасности памяти.

Предоставленный сопровождающим исправленный репро-файл вычисляет количество тайлов напрямую из размеров изображения и тайла.

Для того же TIFF исправленное вычисление даёт:

Исправленный репро-файл был протестирован против той же уязвимой сборки libtiff и того же триггерного файла.

Программа завершилась со статусом 0, и ни AddressSanitizer, ни отчёт о SIGSEGV не были получены.

Это подтверждает наблюдение сопровождающего о том, что исходный репро-файл содержит некорректное вычисление количества тайлов. Однако уязвимая версия libtiff по-прежнему не имела защитной проверки строк и столбцов, что позволяло недопустимым координатам API приводить к отказу безопасности памяти.

Сводка проверки

Заключение

Сбой в TIFFReadRGBATileExt происходит, когда координата изображения за пределами допустимого диапазона достигает уязвимой реализации libtiff.

В исходном репро-файле некорректное вычисление количества тайлов приводит к тому, что num_tiles_y вычисляется как 63 вместо правильного значения 33. В результате репро-файл может передать строку за пределами допустимого диапазона изображения в TIFFReadRGBATileExt.

В уязвимой версии libtiff аргументы строки и столбца не проверялись перед вычислением:

Для воспроизведённого случая row было 34, а img.height — 33. Поскольку read_ysize является беззнаковым, вычитание переполнилось до UINT32_MAX. Это значение впоследствии использовалось в вычислении указателя источника для memmove, что привело к недопустимому чтению памяти и ошибке сегментации.

Исправление в апстриме добавляет явную проверку границ строк и столбцов перед этим вычислением. Тестирование исправленной сборки подтвердило, что та же недопустимая координата отклоняется до того, как могут произойти переполнение и memmove.

Предоставленный сопровождающим исправленный репро-файл также был протестирован против уязвимой сборки с использованием того же файла TIFF. Он вычислил правильное количество тайлов и завершился без отчёта AddressSanitizer или SIGSEGV.

Таким образом, данный анализ не устанавливает, что сам файл TIFF вызывает отказ безопасности памяти при корректном использовании API. Исходный репро-файл содержит некорректное вычисление количества тайлов, в то время как историческая реализация libtiff не имела защитной проверки границ и позволяла результирующему недопустимому входному значению API превращаться в отказ безопасности памяти.