CVE-2020-15999:Chrome FreeType字体库堆溢出原理分析

访客4年前黑客工具982

漏洞简介

Google发布公告,旧版本的 chrome 浏览器的 FreeType字体库中存在堆溢出,被利用可能导致 RCE(远程代码执行)。

安全专家建议用户尽快升级到86.0.4240.111 之后的版本,以解决风险。

漏洞原理


一、TTF 嵌入图片

TTF 字体支持嵌入 PNG 格式的图片作为字形数据,在嵌入时图片数据会被保存在字体文件的 SBIX 表格中,在处理时会通过提取 SBIX 表中的 PNG 中存取的信息来实现字体渲染。SBIX 表中的格式如下图:

1604646034_5fa4f492b0c85e9b0c6c8.png!small


SBIX 中的?strikeOffset?存储了 Strikes 的数据信息的偏移,Strikes 中的?glyphDataOffset?存储了具体的字形信息的偏移,Strikes 格式和字形信息的格式如下图:

1604646054_5fa4f4a6e70178c682f49.png!small

1604646061_5fa4f4adac7c510baaad4.png!small


字形信息中的 data 存储了被嵌入的图片信息。下面是样本中的 SBIX 和存储的图片信息。

1604646107_5fa4f4db88ea03c7b7d49.png!small?1604646107975

PNG 图片信息被保存在了?hex(0x1a30 + 0x5aaec + 0x8)=0x5c524?处。通过 IHDR 可以看到图片的一些基本信息,具体信息如下图:

1604646115_5fa4f4e3c8de0fe4b9450.png!small?1604646116270


二、Load_SBit_Png 函数实现

FreeType 库中 PNG 图片信息的提取是通过?Load_SBit_Png?函数实现的。Load_SBit_Png?函数的处理流程如下:

1. 将字形信息中 data 指向的内存解析为 PNG

2. 提取被解析后图片的 IHDR 存储的信息(图像宽度和高度,深度及颜色类型等)

3. 将解析后的信息提取到字形信息中

4. 按照之前解析到信息开辟内存用于保存图片信息


三、漏洞原理

漏洞发生在将解析到的图片信息提取到字形信息过程中,PNG 图片中的 IHDR 存储的宽度和高度的数据类型为?uint32,在存储到字形信息时,会被转换为?unsigned short?类型,此时如果图片的宽度和高度信息大于?0x7FFF?则会发生截断。

1604646123_5fa4f4eb9fc6039eeebaa.png!small?1604646123943


之后字形信息中存储的相应数据会被传递到用于存储 PNG 图片的字形信息的 bitmap 里,bitmap 中的 rows 对应图片的高度,width 对应图片的宽度,pitch 对应 bitmap 每行占据的字节数,即 宽度 * 4。之后会调用?ft_glyphslot_alloc_bitmap?函数完成 bitmap 中用于存储图片信息的内存的分配。如下图,分配的内存大小是?map->rows * (FT_ULong)map->pitch,即高度 * 每行占据的字节数。之后调用?png_read_image?读取图片信息到?bitmap->buffer。如果 PNG 图片的高度被截断,则会导致分配的内存不足,在读取图片信息时发生堆溢出。

1604646129_5fa4f4f1b617f2b69e920.png!small?1604646130023


溢出后 bitmap 信息如下图,buffer 的长度即为?0xa3 * 0xc?,查看 buffer 之后的数据可以看到已经被覆盖。


1604646136_5fa4f4f8db815ae6b0f0b.png!small?1604646137159


漏洞验证


一、在87.0.4247.0(开发者内部版本)验证

1604646153_5fa4f50988325776c95e1.png!small?1604646153823


二、86.0.4240.111 版本修复分析

比较?imgWidth?和?imgHeight?是否大于?0x7FFF,?大于则退出。

1604646161_5fa4f511ba47360b0a23e.png!small?1604646162070


参考


https://bugs.chromium.org/p/chromium/issues/detail?id=1139963



相关文章

喜德盛黑客800和逐日310(喜德盛黑客380和旭日600)

喜德盛黑客800和逐日310(喜德盛黑客380和旭日600)

本文导读目录: 1、喜德盛逐日怎么样? 2、喜德盛逐日700好点还是800好点?为什么逐日700价钱还贵一点? 3、喜德盛山地车逐日系列怎么样? 4、小白买车 喜德盛逐日700对比英雄31...

开的房记录是永久的吗(公安随便查熟人宾馆记录)

开的房纪录是永久性的吗(公安机关随意查亲戚朋友宾馆记录) 上年9月,因猜疑爱人外遇,深圳市南山区的王某在网络上请人查看“酒店开房记录”,結果上当受骗近1000元。隐私保护小分队掌握到,这并不是案例,...

2020平安夜在哪一天-2020平安夜是几月几日星期几

每年的平安夜都是大家互送祝福的时候,作为西方传统节日,这是圣诞前夕的一个日子,也是圣诞节的一部分,平安夜传入我国以后,由于中西文化的结合,我国年轻人对于平安夜也是非常重视的,每年都会在平安夜吃上一个苹...

日全食和日环食区别(日环食是如何发生的?)

  日全食和日环食差别(日环食是怎样产生的?)沙特阿拉伯的气温一辛纳哈拉夫一日环食,这是一个在阿拉伯半岛十几年来被大家觉得最突显和最重要的少见的事情。如同大家所意料的那般,在日挑食或日环食的场景下,在...

黑客如何刷qq会员,自己制作一个黑客软件,2017黑客网站免费刷q币

研究人员将进犯场景依照方针分为两大类:第一类是从ATM safe中提现,第二类是从客户端银行卡中仿制信息。 我测验了一些能够用西里尔字母拼出的国内闻名网站付款处理(PayPal);发布链接іԚіҮі....

商务开封-【戚明红】

“商务开封-【戚明红】” 手机号:19719***110注册时间:2019-8-23是否需要报酬:有酬劳学生伴游爱情宣言:感谢你在茫茫人海中看到了我,我会给你最极致的享受,最愉快的体验,最难忘的一...