Adrian Junge

يحتوي برنامج فك تشفير Go2Meeting على مشكلة حيث يتم استخدام متغير غير مهيأ، مما يسمح للمهاجمين بتسريب ذاكرة المكدس (stack memory) من خلال فهارس لوحة ألوان خارج النطاق. من خلال إنشاء تدفق G2M3/G2M4 بلوحة ألوان Kempf قصيرة، قد تقوم الدالة `kempf restore buf()` بنسخ بايتات غير مهيأة من المكدس، بما في ذلك المؤشرات أو حراس المكدس (stack guards)، إلى المخرجات التي تم فك تشفيرها.

يحتوي برنامج فك تشفير PCX على مشكلة استخدام مورد غير مهيأ. يمكن للمهاجم إنشاء صورة PCX تنتهي فيها بيانات RLE (ترميز طول التشغيل، وهو شكل من أشكال ضغط البيانات بدون فقدان) مبكرًا. يتسبب ذلك في قيام الدالة `pcx decode frame()` بنسخ محتويات مخزن مؤقت `av malloc()` غير مهيأ إلى بكسلات مفكوكة مرئية، مما يؤدي إلى تسريب ذاكرة الـ heap.

توجد مشكلة استخدام مورد غير مهيأ في الدالة `sunrast decode frame()`. يحدث هذا عند فك تشفير صور Sun Raster ذات لوحة ألوان 1 بت و 4 بت المبتورة، مما يؤدي إلى تسرب ذاكرة الـ heap. يمكن للمهاجم تقديم ملف Sun Raster مبتور مصمم خصيصًا بحيث يتم توسيع خريطة بت مؤقتة غير ممسوحة إلى بكسلات PAL8، مما يكشف عن محتويات heap قديمة، مثل كلمات المخصص (allocator words)، في المخرجات التي تم فك تشفيرها.

يحتوي برنامج فك تشفير CDXL على مشكلة حيث تؤدي المتغيرات غير المهيأة إلى تسريب ذاكرة المكدس (stack memory) إلى البكسلات التي تم فك تشفيرها عبر إدخالات لوحة ألوان HAM غير المعبأة. يمكن للمهاجم استخدام ملف CDXL من النوع-0 مصمم خصيصًا لتحفيز هذا السلوك من خلال الدالتين `cdxl decode ham8()` أو `cdxl decode ham6()`، مما يؤدي إلى كشف بايتات المكدس وأجزاء من المؤشرات في مخرجات BGR24.

يحتوي مفك شفرة Huffyuv على مشكلة استخدام مورد غير مهيأ. يمكن للمهاجم تسريب ذاكرة الـ heap إلى البكسلات المفكوكة باستخدام تدفقات بتات packed-BGR قصيرة. من خلال إنشاء فيديو Huffyuv BGR24/BGRA تنتهي فيه بيانات الإنتروبيا مبكرًا، تقوم الدالة `decode slice()` بإضافة بايتات `s->temp[0]` غير مهيأة إلى إطارات المخرجات، مما يكشف محتويات الـ heap.

يوجد خطأ في الكتابة خارج نطاق الذاكرة المؤقتة (heap) في وحدة فك الترميز الأصلية لـ GoPro CineForm HD (CFHD). يمكن لمهاجم عن بُعد إتلاف ذاكرة الـ heap عن طريق تزويد ملف AVI مُصمم خصيصًا لهذا الغرض أثناء فحص الدفق. تحدث هذه المشكلة لأن الدالة `cfhd decode()` لا تفرض ثابت عرض الإخراج المنطقي غير باير في مسار إعادة البناء من النوع 2. يؤدي هذا إلى قيام الدالة `horiz filter clip()` بكتابة صفوف عينات 16 بت كبيرة الحجم تتجاوز مخزن الإطارات المخصص للإخراج، مما قد يسمح بتنفيذ تعليمات برمجية عشوائية عن طريق الكتابة فوق مؤشر استدعاء تنظيف نشط.

يوجد تجاوز سعة عدد صحيح موقّع في محلل الترجمة DVB داخل ملف `libavcodec/dvbsub parser.c`. يمكن للمهاجم إحداث تجاوز سعة مخزن الـ«هيوب» (heap buffer) عن طريق تقديم ملف WTV مصمم خصيصًا لهذا الغرض. يحدث هذا عندما يلتف تعبير الحماية الخاص بفحص الحدود إلى `INT MIN`، متجاوزًا مقارنة `PARSE BUF SIZE`. ونتيجة لذلك، يتم استدعاء الدالة `memcpy()` ببيانات يتحكم فيها المهاجم، مما يؤدي إلى كتابة خارج حدود الذاكرة المؤقتة، وهو ما قد يؤدي إلى تلف الذاكرة أو تنفيذ تعليمات برمجية عشوائية.

يحتوي برنامج فك الترميز RSCC الأصلي الموجود في `libavcodec/rscc.c` على ثغرة تتعلق بقراءة ذاكرة الهيب غير المُهيأة. يمكن للمهاجم الكشف عن محتويات ذاكرة الهيب من خلال تقديم ملف فيديو مُصمم خصيصًا يحتوي على مربع مضغوط يتم فك ضغطه بعدد بايتات أقل مما تتطلبه أبعاد المربع المعلنة. يحدث هذا عندما تستدعي الدالة `rscc decode frame()` الدالة `av image copy plane()` دون التحقق من صحة عدد البايتات التي تم فك ضغطها مقارنة بأبعاد المربع. ونتيجة لذلك، يتم نسخ اللاحقة غير المكتوبة للمخزن المؤقت الدائم `ctx->inflated buf` إلى الإطار الذي تم فك تشفيره، مما قد يؤدي إلى كشف البيانات من عمليات تخصيص الذاكرة المؤقتة السابقة أو الإطارات التي تم فك تشفيرها سابقًا في خدمات فك التشفير الدائمة.

توجد ثغرة قراءة في ذاكرة الكومة غير المُهيأة في وحدة فك الترميز الأصلية لـ Screenpresso (`libavcodec/screenpresso.c`). يمكن للمهاجم استرداد محتويات الذاكرة الحساسة، مثل عناوين مساحة المستخدم من خدمات فك الترميز الدائمة، عن طريق توفير حزمة SPV1 مُصممة خصيصًا تحتوي على دفق zlib صالح يقوم بفك ضغط عدد بايتات أقل مما يتطلبه الإطار الكامل. يحدث هذا لأن الدالة `screenpresso decode frame()` لا تتحقق من صحة عدد البايتات الناتجة قبل استدعاء الدالة `av image copy plane()` لنسخ أبعاد الإطار من المخزن المؤقت `ctx->inflated buf`، مما يؤدي إلى نسخ ذاكرة الكومة غير المكتوبة من عمليات التخصيص السابقة أو الإطارات إلى المخرجات التي تم فك تشفيرها.

يوجد ثغرة في الكشف عن ذاكرة الهيب غير المُهيأة في وحدة فك الترميز الأصلية لملفات TIFF داخل ملف libavcodec/tiff.c. يمكن للمهاجم استغلال هذه الثغرة عن طريق تقديم ملف TIFF مُصمم خصيصًا يحتوي على شريط صالح مضغوط بتنسيق Deflate ينتج عدد بايتات أقل من المُعلن عنه. تقوم الدالة `tiff unpack zlib()` بتخصيص مخزن مؤقت (heap buffer) للشريط المعلن بالكامل، لكنها تستخدم `memcpy()` لنسخ جميع الصفوف المعلنة بغض النظر عن البايتات الفعلية التي تم فك ضغطها بواسطة zlib. تدمج هذه العملية بايتات غير مكتوبة تحتوي على بيانات قديمة من تخصيصات المخزن المؤقت السابقة في إخراج الصورة التي تم فك تشفيرها، مما قد يؤدي إلى كشف معلومات حساسة في الخدمات الدائمة.

توجد ثغرة تتمثل في الكتابة خارج حدود الذاكرة المؤقتة (heap) في مشفرات PNG وAPNG الأصلية. يمكن لمهاجم عن بُعد إتلاف ذاكرة الـheap عن طريق تزويد صورة PNG مُعدَّلة تحتوي على جزء eXIf ضار. من خلال إنشاء جزء eXIf حيث تشير عدة إدخالات IFD (دليل ملفات الصور) إلى نفس الحمولة ذات القيمة الكبيرة، يؤدي التسلسل القياسي إلى توسيع المخرجات بما يتجاوز التخصيص المقدر بواسطة الدالة `add exif profile size()`. وهذا يتسبب في قيام الدالة `png write chunk()` بكتابة البيانات خارج حدود المخزن المؤقت، مما يؤدي إلى تلف محدد في الذاكرة المكدسة، وتعطل العمليات، واحتمال تنفيذ تعليمات برمجية عشوائية.

يوجد ثغرة تتمثل في الكتابة خارج حدود الذاكرة المؤقتة (heap) في مرشح `vf hqdn3d`. تحدث هذه الثغرة عند تعطيل إعادة تهيئة مخطط المرشحات (filtergraph) باستخدام الخيار `-reinit filter 0`. يمكن للمهاجم تقديم مقطع فيديو مُعدّ خصيصًا تزداد فيه دقة الإطار بين الإطارات. في هذه الحالة، تقوم الدالة `config input()` بتخصيص مخازن مؤقتة لسجل الخطوط لكل مستوى أصغر من اللازم استنادًا إلى عرض الإطار الأولي، وتؤدي الإطارات الأكبر حجمًا اللاحقة إلى قيام الدالة `denoise spatial()` بالكتابة خارج الحدود المخصصة، مما يؤدي إلى تلف ذاكرة الكومة.

توجد مشكلة كتابة خارج نطاق الصلاحية في مرشح الفيديو `vf floodfill`. تحدث هذه المشكلة عند توفير دفق فيديو ذي حجم ديناميكي في الوقت الذي تكون فيه إعادة تهيئة مخطط المرشحات (filtergraph) معطلة عبر الخيار `-reinit filter 0`. تقوم الدالة `config input()` بتخصيص مكدس اجتياز النقاط بناءً على أبعاد الإطار الأولي؛ وإذا تمت معالجة إطار لاحق أكبر حجمًا، فإن الدالة `filter frame()` تقوم بدفع العناصر المجاورة باستخدام طريقة «الملء الفيضي» (flood-fill) إلى ما وراء حدود التخصيص الأصلي. يؤدي هذا إلى تلف الذاكرة المؤقتة (heap)، مما قد يتسبب في تعطل العملية أو قد يسمح بتنفيذ تعليمات برمجية عشوائية اعتمادًا على تخطيط الذاكرة المؤقتة ومستوى تقوية العملية.

توجد ثغرة كتابة خارج نطاق الذاكرة في مرشح الفيديو `vf swaprect`. تحدث هذه الثغرة عندما تعيد الدالة `filter frame()` استخدام مخزن مؤقت للصفوف تم تحديد حجمه وفقًا لخطوة البكسل المكونة من بايت واحد في المستوى 0 عبر جميع المستويات. عند معالجة إطار فيديو NV12 مصمم خصيصًا بأبعاد عرض فردية، مثل إطار 17x16، يتم تنفيذ عملية memcpy بحجم 18 بايت في تخصيص كومة بحجم 17 بايت لمستوى اللون المتداخل. يؤدي هذا إلى تلف الكومة، مما قد يتسبب في تعطل العملية أو قد يسمح بتنفيذ تعليمات برمجية عشوائية.

توجد مشكلة كتابة خارج النطاق عند معالجة ملف ffconcat مُعدّ خصيصًا باستخدام العلامة `-safe 0`. تقوم الدالة `demux audio()` داخل أداة فصل TY بتقليل حجم الحزمة دون إجراء فحص للنطاق. ويؤدي ذلك إلى تمرير قيمة حجم سالبة إلى الدالة `memcpy()` داخل `shorten decode frame()`. ويؤدي التحويل اللاحق إلى `size t` إلى لف القيمة إلى ما يقارب `SIZE MAX`، مما يؤدي إلى عمليات قراءة تتجاوز التخصيص المصدر وعمليات كتابة تتجاوز بكثير مخزن تدفق البتات الخاص بمفكك Shorten، مما يتسبب في تلف الذاكرة المؤقتة.

توجد مشكلة كتابة خارج نطاق الذاكرة في وحدة فك ترميز الفيديو TDSC. يمكن لمهاجم عن بُعد التسبب في تلف الذاكرة المؤقتة (heap) عن طريق تزويد ملف AVI مصمم خصيصًا لهذا الغرض، والذي يغير أبعاد الإطارات عبر إطارات TDSF. لا تقوم الدالة `tdsc parse tdsf()` بإلغاء مرجعية الإطار المرجعي الحالي قبل استدعاء الدالة `av frame get buffer()`. يؤدي ذلك إلى قيام الدالتين `tdsc blit()` و`tdsc yuv2rgb()` بكتابة بيانات بكسل يتحكم فيها المهاجم خارج حدود مخزن الإطار المرجعي الأصغر حجمًا، مما قد يؤدي إلى تعطل العملية أو إمكانية تنفيذ تعليمات برمجية تعسفية.

يحتوي مُفكك الصوت MACE6 على تجاوز سعة عدد صحيح مُوقّع، مما يسمح بتلف ذاكرة الكومة عبر ملف CAF مُصمم خصيصًا. من خلال توفير قيم كبيرة جدًا لـ `bytes per packet` و`frames per packet` في جزء desc، يمكن للمهاجم إحداث تجاوز سعة عدد صحيح في الدالة `mace decode frame()` أثناء حساب عدد عينات الإخراج. ويؤدي ذلك إلى تخصيص مخزن مؤقت أصغر من اللازم وكتابة خارج حدود الـ«هيوب»، مما قد يتيح تنفيذ تعليمات برمجية تعسفية.

يحتوي برنامج فصل البيانات IAMF على ثغرة تسمح لمهاجم غير مصدق عليه بتخصيص ذاكرة تبلغ عدة غيغابايت باستخدام ملف إدخال صغير بحجم 17 بايت. يحدث هذا لأن الدالة `mix presentation obu()` الموجودة في libavformat/iamf parse.c تستدعي الدالة `av calloc()` باستخدام حقل `count label` مُعدّ خصيصًا قبل التحقق من صحة بيانات OBU (كائن ثنائي OpenGL) المتاحة. ويؤدي ذلك إلى تضخيم تخصيص الذاكرة بنحو 126 مليون بايت لكل بايت مدخل، مما قد يستنفد ذاكرة العملية أو يؤدي إلى تشغيل OOM-kill (Out-Of-Memory killer، وهي عملية تابعة للنواة تعمل على إنهاء العمليات لتحرير الذاكرة) أثناء فحص التنسيق.

توجد مشكلة في الكشف عن المعلومات في وحدة فك ترميز الفيديو LCL/ZLIB. يمكن للمهاجم الكشف عن ذاكرة الهيب غير المُهيأة عن طريق توفير دفق zlib صالح يتضخم إلى عدد بايتات أقل من حجم الإطار المتوقع. تتعامل الدالة `zlib decomp()` في ملف `lcldec.c` مع عملية فك الضغط القصيرة على أنها غير فادحة وتنتقل إلى مسار التحويل RGB24. تنسخ هذه العملية إطارًا كاملاً من الصفوف من مخزن التخصيص المؤقت بناءً على أبعاد الإطار الأصلي، مما يؤدي إلى نسخ محتويات الذاكرة المكدسة غير المُهيأة، مثل بايتات المخصص المشتقة من المؤشر، إلى مخرجات AVFrame. قد يؤدي هذا إلى إبطال مفعول «توزيع عشوائي لمساحة العناوين» (ASLR)، وهي تقنية أمان تقوم بترتيب مواقع مساحة العناوين لمناطق البيانات الرئيسية في العملية بشكل عشوائي لمنع الاستغلال.

توجد ثغرة تتمثل في الكتابة خارج حدود الذاكرة المؤقتة (heap) في مرشح `vf quirc`. يمكن للمهاجم إتلاف ذاكرة الـ«heap» عن طريق تقديم ملف ترجمة PGS/SUP مُعدّ خصيصًا بأبعاد إطارات غير متطابقة، وتحديدًا عندما تكون أبعاد العرض الثاني أكبر من أبعاد العرض الأول. يؤدي ذلك إلى قيام الدالة `av image copy plane()` بنسخ بيانات تتجاوز حجم التخصيص الأولي إلى مخزن مؤقت لصورة بتدرج الرمادي في مكتبة libquirc أصغر من اللازم، مما يؤدي إلى تعطل العملية وإمكانية تنفيذ تعليمات برمجية تعسفية.