Carlini

A função `ImagingJpegEncode()` em `src/libImaging/JpegEncode.c` pode chamar `jpeg write marker()` para um comentário JPEG COM quando um perfil ICC preenche exatamente o buffer do codificador de 65536 bytes. Isso faz com que o `libjpeg` escreva um byte antes de verificar o contador `free in buffer`, que então sofre um wrap e permite que um comentário controlado pelo invasor e dados de imagem compactados sobrescrevam a memória heap adjacente. Salvar novamente uma imagem não confiável como JPEG, preservando seu perfil ICC e comentário encaminhado, pode causar a falha do processo e permitir a execução de código em layouts de heap e tempo de execução adequados.

Um problema de divulgação de memória e falha de segmentação ocorre quando o software salva novamente imagens como arquivos TIFF usando o codificador libtiff. O problema reside na função `PyImaging LibTiffEncoderNew()` em `src/encode.c`, pois o codificador não verifica corretamente se o valor Python passado para a função variádica `TIFFSetField()` corresponde à definição de campo esperada pelo libtiff. Um invasor pode fornecer um arquivo TIFF manipulado contendo tags específicas que desencadeiam esse erro. Por exemplo, se uma tag for definida pelo libtiff como um array contado, mas for passada como um escalar, o libtiff pode interpretar o valor escalar como uma contagem de bytes e copiar uma quantidade arbitrária de memória do processo a partir de um ponteiro obsoleto para o arquivo de saída. Alternativamente, se uma tag for definida como um array de tamanho fixo, o valor escalar pode ser usado como um endereço de memória de origem, levando ao travamento do processo (SIGSEGV). Detalhes técnicos incluem: - **Função Vulnerável**: `PyImaging LibTiffEncoderNew()` - **Parâmetros Vulneráveis**: Tags TIFF manipuladas, como `DNGPrivateData` (50740) e `ActiveArea` (50829). - **Impacto**: Isso pode levar a um bypass completo do ASLR ao vazar ponteiros do ` imaging.so`, libpython, libc e libtiff, ou causar a negação de serviço via travamentos do processo.

O Pillow contém um problema de leitura fora dos limites (out-of-bounds read) ao decodificar certos arquivos TIFF compactados malformados. O problema ocorre nas funções ` decodeTile()` e ` decodeAsRGBA()` em `src/libImaging/TiffDecode.c`. Quando o Pillow e o libtiff interpretam tags duplicadas de `PhotometricInterpretation` ou `BitsPerSample` de forma diferente, o Pillow pode não verificar se a linha de entrada necessária cabe no buffer produzido pelo libtiff. Um invasor pode explorar isso fornecendo um arquivo TIFF manipulado que faz com que o descompactador leia além do final de um buffer de heap. Isso pode resultar na cópia de fragmentos da memória heap do processo, incluindo valores de ponteiros, para os pixels da imagem de saída. Em casos onde o arquivo é maior, isso pode levar ao travamento do processo (falha de segmentação).

O Pillow pode retornar memória não inicializada como pixels quando o libtiff realiza uma decodificação curta de dados TIFF comprimidos em JPEG ou fax do Grupo 4. Isso ocorre porque os buffers ` decodeStrip` e ` decodeTile` podem ser maiores do que os bytes gravados pelo libtiff, e o Pillow converte as linhas esperadas sem limpar a cauda não gravada. Um invasor pode fornecer um arquivo TIFF manipulado para um aplicativo que carrega e retorna ou recodifica pixels, potencialmente expondo conteúdos obsoletos do heap sem causar corrupção de memória ou falha no processo.

Um estouro de buffer de heap e a divulgação de heap obsoleta existem na função ` tiffWriteProc` ao salvar dados TIFF compactados através do libtiff para um destino sem um `fileno()` utilizável, como `BytesIO`. O callback define o tamanho da alocação com base no tamanho do buffer anterior em vez da posição de gravação atual. Isso permite que uma tag TIFF fora de linha controlada por um invasor ou um perfil ICC retido seja copiado além da alocação após o libtiff avançar a busca, o que pode causar a interrupção do processo ou a execução de código remoto. Adicionalmente, lacunas de alinhamento não gravadas em saídas TIFF compactadas maiores que 64 KiB podem divulgar bytes de heap obsoletos. Caminhos de arquivo e destinos com descritores de arquivo reais não são afetados.