CVE-2026-15902: Perl Imager JPEG EXIF Out-of-Bounds Read via count=0 Underflow

脆弱性概要 脆弱性名称: JPEG EXIF ASCII 条目中 count=0 引起的长度下溢及 strlen() 越界读取触发 CVE 编号: CVE-2026-15902 严重程度: 中等 描述: 在 JPEG EXIF ASCII 条目中，当 count 为 0 时，会导致长度下溢，并触发 strlen() 的越界读取。 影响范围 受影响版本: <= 1.033 修复版本: 1.034 攻击者模型: 攻击者可以向使用 Imager 解码（常见于文件上传或缩略图生成流程）的受害者应用程序提供包含恶意 JPEG 文件。 前提条件: - 受害者使用 Imager::read() 读取包含 APP1 Exif 字段的 JPEG 文件。 - Exif 载荷中包含 TIFF IFD 条目，其中包含 ASCII 标签（例如，tag271 / exif_make），且 count 为 0。 影响: - 解析器生成一个 “exif_” 标签，其长度和内容反映了标签声明的 EXIF 条目长度（解析器越过了边界）。 - 在实际应用中，越界读取可能泄露相邻进程内存（或在极端情况下，如果 strlen() 读取到未映射内存，会导致崩溃）。此报告证明了未导致崩溃的、不正确的 tag 物化现象。 修复方案 修复版本: 1.034 修复措施: 修复了 JPEG EXIF ASCII 条目中 count 为 0 时的长度下溢问题，防止 strlen() 的越界读取。 POC 代码 观察到的输出 在发布的 v1.033 版本中也观察到了相同的输出。 严重性及 CVSS 推理 建议严重性: MEDIUM（中等） 建议 CVSS v3.1: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L 理由: - 攻击是网络邻接的，仅通过解码未经验证的 JPEG 的应用程序即可发生。攻击者提供的内容到达 Imager::read()，无需身份验证。 - 复杂性低：攻击者只需构造一个包含 APP1 Exif 段且 ASCII IFD 条目 count 为 0 的 JPEG 文件。 - 影响主要是内存安全边界失效，将意外的字节物化为返回的 tag 字符串。演示中观察到的字节是相邻的，但越界读取并非真正的利用原语。 - 未证实可用性影响，因为在复现中未观察到崩溃；然而，strlen() 的扫描和分配大小受 NUL 字节位置的影响。 发现过程及工具说明 发现过程: 通过跟踪 Imager::read() 到 JPEG 读取器和 im_decode_exif()，然后审查 imexif.c 中 TIFF IFD 字符串提取逻辑里的 copy_string_tags()，重点关注 count 为 0 的特殊情况，其中 size == -1 会触发 strlen(data)。通过构建启用 JPEG 的 tonycoz/imager 并运行构造的 Perl 复现，注入 APP1 Exif 载荷（ASCII 条目 count 为 0），观察到 exif_make len=0，并在 tag 输出中观察到预期的 AAAAAA88 类相邻字节，从而验证了可达性和具体行为。 AI 工具: 使用 AI 辅助代码审计和报告草案。对发现的真实性、严重性及影响评估已在项目源代码中手动验证。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-15902: Perl Imager JPEG EXIF Out-of-Bounds Read via count=0 Underflow

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-15902: Perl Imager JPEG EXIF Out-of-Bounds Read via count=0 Underflow

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！