libstagefright

2015(平成27)年夏、libstagefrightのバグが世界を震撼させた。

ANDROID bug 2件に計6件のCVEを含むバグは、JVNがJVNVU#92141772「Android Stagefright に複数の脆弱性」として報告している。

• ANDROID-20139950
  • CVE-2015-1538 Integer overflows during MP4 atom processing
  • CVE-2015-1539 An integer underflow in ESDS processing
• ANDROID-20923261
  • CVE-2015-3824 Integer overflow in libstagefright when parsing the MPEG4 tx3g atom
  • CVE-2015-3826 Unbounded buffer read in libstagefright while parsing 3GPP metadata allows reading arbitrary memory
  • CVE-2015-3827 Integer underflow in libstagefright when processing MPEG4 covr atoms
  • CVE-2015-3828 Integer underflow in libstagefright if size is below 6 while processing 3GPP metadata
  • CVE-2015-3829 Integer overflow in libstagefright processing MPEG4 covr atoms when chunk_data_size is SIZE_MAX

一つを除き、いずれも単純な範囲チェック漏れである。しかし、一つだけは想定を超えるものであった。

ANDROID-20139950のうち、CVE-2015-1538に対応する不具合である。

3ヶ所の修正があるが、次は、そのうちの1番目である。

     mTimeToSampleCount = U32_AT(&header[4]);
-    uint64_t allocSize = mTimeToSampleCount * 2 * sizeof(uint32_t);
+    uint64_t allocSize = mTimeToSampleCount * 2 * (uint64_t)sizeof(uint32_t);
     if (allocSize > SIZE_MAX) {
         return ERROR_OUT_OF_RANGE;
     }

32ビットARM環境では、mTimeToSampleCountも、sizeofの返却値であるsize_t型も共に32ビットである。32ビット同士の積は32ビットを超えることもあるため、この式は「32ビット同士の積を64ビット変数に代入」が仮定され、uint64_t型で結果を得るようになっていた。

ところが、実際には、この式では意図した結果が得られなかった。C/C++においては、「32ビット同士」の積の解は「32ビット」で得られ、オーバーフロー分は切り捨てられる。その後に64ビットに拡張されるため得られる結果は誤ったものとなり、実際より小さな値が格納されることからその次のif文も成立せず、結果としてオーバーフローチェックをすり抜けてしまっていた。

結果を期待通り64ビット長で得るためには式中に一つ以上64ビット長が必要となるため、修正においては、sizeofの返却値をuint64_tでキャストして64ビット長としている。