Carlini

يمكن أن تستدعي الدالة `ImagingJpegEncode()` في `src/libImaging/JpegEncode.c` الدالة `jpeg write marker()` لتعليق JPEG COM عندما يملأ ملف تعريف ICC تمامًا ذاكرة التخزين المؤقت للمشفر التي تبلغ 65536 بايت. يتسبب ذلك في قيام `libjpeg` بكتابة بايت واحد قبل التحقق من عداد `free in buffer` الذي يلتف بعد ذلك، مما يسمح لتعليق يتحكم فيه المهاجم وبيانات صورة مضغوطة بتجاوز ذاكرة heap المجاورة. قد يؤدي إعادة حفظ صورة غير موثوقة بتنسيق JPEG مع الحفاظ على ملف تعريف ICC والتعليق الممرر إلى تعطل العملية وقد يسمح بتنفيذ تعليمات برمجية في تخطيطات heap ووقت تشغيل مناسبة.

توجد ثغرة تؤدي إلى كشف الذاكرة وانهيار البرنامج (segmentation fault) عند قيام البرنامج بإعادة حفظ الصور كملفات TIFF باستخدام مشفر libtiff. تكمن المشكلة في الدالة `PyImaging LibTiffEncoderNew()` داخل الملف `src/encode.c` لأن المشفر لا يتحقق بشكل صحيح مما إذا كانت قيمة Python الممررة إلى الدالة المتغيرة `TIFFSetField()` تطابق تعريف الحقل المتوقع من قبل libtiff. يمكن للمهاجم تقديم ملف TIFF مصمم خصيصاً يحتوي على علامات (tags) معينة تؤدي إلى هذا التعارض. على سبيل المثال، إذا تم تعريف العلامة بواسطة libtiff كمصفوفة معدودة ولكن تم تمريرها كقيمة مفردة (scalar)، فقد يفسر libtiff هذه القيمة كعدد من البايتات ويقوم بنسخ كمية عشوائية من ذاكرة العملية من مؤشر قديم إلى الملف الناتج. بدلاً من ذلك، إذا تم تعريف العلامة كمصفوفة ثابتة الحجم، فقد يتم استخدام القيمة المفردة كعنوان لذاكرة المصدر، مما يؤدي إلى انهيار العملية (SIGSEGV). التفاصيل الفنية تشمل: - **الدالة المصابة**: `PyImaging LibTiffEncoderNew()` - **المعاملات المصابة**: علامات TIFF المصممة خصيصاً مثل `DNGPrivateData` (50740) و `ActiveArea` (50829). - **التأثير**: يمكن أن يؤدي ذلك إلى تجاوز كامل لخاصية ASLR من خلال تسريب مؤشرات من ` imaging.so` و libpython و libc و libtiff، أو التسبب في حجب الخدمة عن طريق انهيار العملية.

يحتوي Pillow على مشكلة قراءة خارج الحدود (out-of-bounds read) عند فك تشفير بعض ملفات TIFF المضغوطة والمشوهة. تحدث المشكلة في الدالتين ` decodeTile()` و ` decodeAsRGBA()` ضمن الملف `src/libImaging/TiffDecode.c`. عندما يقوم Pillow و libtiff بتفسير علامات `PhotometricInterpretation` أو `BitsPerSample` المكررة بشكل مختلف، قد يفشل Pillow في التحقق من أن صف الإدخال المطلوب يتناسب مع المخزن المؤقت (buffer) الذي أنتجه libtiff. يمكن للمهاجم استغلال ذلك عن طريق تقديم ملف TIFF مصمم خصيصاً يتسبب في قيام أداة فك الحزم بالقراءة بعد نهاية مخزن مؤقت في الذاكرة (heap buffer). قد يؤدي ذلك إلى نسخ أجزاء من ذاكرة الـ heap الخاصة بالعملية، بما في ذلك قيم المؤشرات (pointer values)، إلى بكسلات الصورة الناتجة. وفي الحالات التي يكون فيها الملف أكبر، يمكن أن يؤدي ذلك إلى تعطل العملية (segmentation fault).

يمكن لـ Pillow إرجاع ذاكرة غير مهيأة كبكسلات عندما يقوم libtiff بإجراء فك تشفير قصير لبيانات TIFF المضغوطة بتنسيق JPEG أو فاكس Group 4. يحدث هذا لأن مخازن ` decodeStrip` و ` decodeTile` المؤقتة قد تكون أكبر من البايتات التي يكتبها libtiff، ويقوم Pillow بتحويل الصفوف المتوقعة دون مسح الجزء المتبقي غير المكتوب. يمكن للمهاجم تقديم ملف TIFF مصمم خصيصاً إلى تطبيق يقوم بتحميل وإرجاع أو إعادة ترميز البكسلات، مما قد يؤدي إلى كشف محتويات heap قديمة دون التسبب في تلف الذاكرة أو تعطل العملية.

يوجد تجاوز في مخزن المؤقت للكومة (heap buffer overflow) وكشف عن بيانات قديمة في الكومة في الدالة ` tiffWriteProc` عند حفظ بيانات TIFF المضغوطة عبر libtiff إلى هدف يفتقر إلى `fileno()` قابل للاستخدام، مثل `BytesIO`. يقوم الاستدعاء بتحديد حجم التخصيص بناءً على حجم المخزن المؤقت السابق بدلاً من موضع الكتابة الحالي. يسمح هذا بنسخ علامة TIFF خارج السطر يتحكم فيها المهاجم أو ملف تعريف ICC محتفظ به إلى ما بعد التخصيص بعد أن يقوم libtiff بالبحث للأمام، مما قد يؤدي إلى تعطل العملية أو تنفيذ رمز برمجى عن بُعد. بالإضافة إلى ذلك، يمكن أن تؤدي فجوات المحاذاة غير المكتوبة في مخرجات TIFF المضغوطة التي تزيد عن 64 كيلوبايت إلى كشف بايتات قديمة من الكومة. لا تتأثر مسارات الملفات والأهداف التي تمتلك واصفات ملفات حقيقية.