微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析

 聚焦源代码安全，网罗国内外最新资讯！

2020年12月和2021年2月，微软两次针对“照片”应用的Raw格式图像编码器发布安全更新，其中2月9日修复的是CVE-2021-24091。笔者从事文件格式方面的安全研究工作，找到研究人员提供的poc 后，对该漏洞进行了漏洞验证和分析。

根据MSRC 和漏洞发现者公开的信息，该漏洞存在于Windows Imaging Component解码Olympus E300 相机拍摄的原始图像的相关函数中。由于互联网并没有过多公开资源介绍 E300 RAW 格式（笔者仅找到一份公开资料，见https://myolympus.org/E300/#RAW），所以本文将从漏洞产生机制的角度，分析漏洞产生的原因。

0x00 漏洞验证

1、在Win10 1903 x64系统上，使用gflags工具为图片app开启页堆，双击图片文件打开（图片默认应用为照片App）。一段时间后，App退出进程。

2、使用Windbg附加照片App（Windbg 调试UWP方法详见微软文档），敲击g运行程序。一段时间后，进程崩溃。如下图所示：

0x01 漏洞分析

使用ida pro 加载崩溃的dll，可以确认崩溃发生在一个将数据写入缓冲区的循环之中。

通过这段代码，可初步大致判断循环体条件语句导致循环次数过多，造成越界写入。函数部分变量的初始化如下：