stb_image/stb_vorbis内存安全缺陷分析与PoC

漏洞总结：stb_image 与 stb_vorbis 内存安全缺陷（Issue #1928） 漏洞概述 在 v2.30 和 v1.2.2 中发现多类内存安全缺陷，包括： 整数溢出（integer overflows） 越界访问（out of bounds accesses） 逻辑错误（logic errors） 影响范围 stb_image.h： 1. 缺少溢出检查（line 1820） 2. / （lines 1193, 1209） 3. 动画 GIF 中 指针下溢（line 7023） 4. 动画 GIF 中 溢出（lines 6991-7021） 5. PNG 调色板索引越界（line 4988） 6. 无效 PNG 颜色类型 + 位深度被接受（line 5112） 7. PNG IDAT 数据限制导致双重溢出（line 5188） 8. JPEG 标记失败时错误返回成功（line 3440） 9. 渐进式 JPEG 未初始化堆泄漏（lines 3346, 3085） 10. BMP 调色板未初始化读取（line 5601） 11. 溢出（line 1250） stb_vorbis.c： 12. 边界钳位符号错误（line 1891） 13. Codebook 条目维度溢出（line 3860） 14. 乘数分配溢出（lines 3878, 3880） 15. 未检查的 （line 3660） 修复方案 已提交 PR 修复其中部分缺陷（bugs 1, 2, 3, 5, 8, 12），PR 编号为 #1927。 其余缺陷（如 bug 4、6、7、9、10、11、13、14、15）尚未修复，需进一步处理。 POC 代码 / 利用代码 1. stbi__convert_format16 溢出（line 1820） > 大尺寸图像（如 32768x32768 RGBA）时， 可能溢出为 0，导致分配 0 字节缓冲区，后续写入 8 GB 数据到零大小缓冲区。 3. 动画 GIF two_back 指针下溢（line 7023） > 当 指向堆分配缓冲区起始处， 指向堆分配之前。若使用 dispose method 3，line 6818 读取该指针时崩溃。 4. 动画 GIF layers->stride 溢出（lines 6991-7021） > 每帧递增 用于 realloc 和内存偏移计算，无溢出检查。400x400 RGBA GIF 在约 3356 帧后溢出。 5. PNG 调色板索引越界（line 4988） > 接收调色板长度但显式忽略它。像素值 0-255 不依赖调色板大小， 数组仅 1024 字节栈空间且部分初始化。超出实际调色板大小的像素索引读取未初始化的栈内存。 6. 无效 PNG 颜色类型 + 位深度（line 5112） > PNG 规范限制颜色类型 2,4,6 和位深度 8 和 16 位，但 接受 1,2,4。unpacking 代码为单通道图像设计， 或 时错误。 7. PNG IDAT 数据限制导致双重溢出（line 5188） > 收集大量 IDAT 块后， 可能溢出为 32。当 为 0 时， 分配 0 字节， 写入最多 1 GB 到 0 字节缓冲区。 8. JPEG 标记失败返回成功（line 3440） > 当 返回 0（失败）时，函数返回 1（成功）。应在遇到 8 位标记前返回 0。 9. 渐进式 JPEG 未初始化堆泄漏（lines 3346, 3085） > 系数缓冲区用 （非 calloc）分配。 处理所有组件，无论是否出现在 SOSC 扫描中。渐进式 JPEG 定义 3 个组件但仅扫描 2 个，导致 2 个泄漏堆块。 10. BMP 调色板未初始化读取（line 5601） > 与 PNG 调色板问题类似。小调色板 BMP 允许像素索引超出调色板大小，读取未初始化的 栈数组。 11. stbi__vertical_flip_slices 溢出（line 1250） > 无溢出检查。用于动画 GIF 翻转路径中的指针算术。 12. 边界钳位符号错误（line 1891） > 应为 而非 ，否则可能将样本钳位到缓冲区末端之外。 13. Codebook 条目维度溢出（line 3860） > 循环中 无溢出检查。条目数可达 2^15-1，维度可达 2^15-1，乘积可能溢出为未定义值。 14. 乘数分配溢出（lines 3878, 3880） > 溢出，小分配但大写入。 15. 未检查的 comment_list_length（line 3660） > 32 位值来自流，乘以 用于分配。在 32 位平台上可能溢出。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

stb_image/stb_vorbis内存安全缺陷分析与PoC

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

stb_image/stb_vorbis内存安全缺陷分析与PoC

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！