Artifex MuPDF 1.28 Heap-buffer-overflow in CFF Font Processing

脆弱性概要 脆弱性 ID: #802590 脆弱性名称: Artifex MuPDF 1.28 におけるアウトオブバウンズリード（範囲外読取り） 脆弱性タイプ: ヒープバッファオーバーフロー（Heap-buffer-overflow） 脆弱性説明: の 関数において、 フォントを処理する際、 が返す 値が より大きい場合、 関数が割り当てられたメモリ領域の範囲外を読み取る原因となります。具体的には、 が が返す バイト分を読み取りますが、そのデータは によって割り当てられたメモリ範囲を超えている可能性があり、結果としてヒープバッファオーバーフローを引き起こします。 影響範囲 影響を受けるバージョン: Artifex MuPDF 1.28 およびそれより古いバージョン 影響を受けるコンポーネント: フォント処理モジュール 修正方法 修正ステータス: 承認済み（Accepted） 修正バージョン: 具体的な修正バージョンは未提供 修正推奨事項: 関数において、 値の検証を追加し、 を超えないことを確認することで、割り当てられたメモリ範囲外のデータを読まないようにしてください。 POCコード ```plaintext subset-cff.c の index_load() における 1 バイトオフの検証により、fz_subset_cff_for_gids 内でヒープのアウトオブバウンズリードが発生します。subset-cff.c の index_load() は、最後の CFF INDEX オフセットが CFF バッファの全長を超えないことを検証しますが、do_subset() 内でのメモリの読み込みは index_get() によって計算された絶対位置を使用して行われます。index_get() は INDEX の data_offset を加算します。CFF のバイト 0 から始まらない INDEX では data_offset > 0 であるため、v_last = len を持つ巧妙に作成された CFF ファイルは検証チェックを通過しますが、index_get(count) = data_offset + len > len となり、do_subset() が割り当てられた CFF バッファの末尾を超えてメモリを読み取る原因となります。Version: 1.28.0 Commit: 8dd9cc0108c38c409f301361f83f11539c68ef 根本原因 (subset-cff.c, index_load()), 行 315 — "data_offset uses v_last = v if (v > len) fz_throw(ctx, FZ_ERROR_FORMAT, "Truncated index");" // index_load(), 行 297 — data_offset は INDEX ベースポジション + index_offset = data_offset + offset; // offset > 0 常に / // index_get()), 行 337 — 絶対位置は data_offset を再度加算 / return index-data_offset + v; // " data_offset + len > len" // do_subset()), 行 800 — OOB 絶対位置を使用して読み込み */ memcpy(strings + fill, &cfs->base[offset], end - offset); 行 315 のチェックは、raw な相対オフセット v を len（CFF 全サイズ）と比較しますが、index_get() は data_offset + v（絶対ファイル位置）を返します。data_offset = 38、v_last = len = 1040 の場合、index_get(count) = 1078 となり、do_subset() は 1041 バイトの割り当てに対して位置 39 から 1039 バイトを読み取り、ヒープの右隣接領域（right needle）に 37 バイトあふれます。実行: ASAN_OPTIONS=abort_on_error=0 .../mutool clean -S poc_subset-cff_indexload_oob_read.pdf /tmp/poc_out.pdf Sanitizer 出力: ASAN_OPTIONS=abort_on_error=0 mutool clean -S poc_subset-cff_indexload_oob_read.pdf /tmp/poc_out.pdf 2>&1 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 530630f07b7959d003384841eb6ab346678434c6) #2 0xcbcb71154820 /home/user/Desktop/mupdf/mupdf/build/release/mutool+0x1694820) (BuildID: 5306

目標達成 すべての支援者に感謝 — 100%達成しました！

Artifex MuPDF 1.28 Heap-buffer-overflow in CFF Font Processing

目標達成すべての支援者に感謝 — 100%達成しました！