Exploit for stb-image-cwe674-poc

## https://sploitus.com/exploit?id=2A6F1FD3-4D06-50EA-A607-1FBB54C574D2
# PoC — `stb_image` v2.30 GIF `stbi__out_gif_code` 무한 재귀 (DoS)

대상: [`nothings/stb`](https://github.com/nothings/stb) — `stb_image.h` v2.30
취약 위치: `stb_image.h` 라인 6661 — `stbi__out_gif_code()`
카테고리: **CWE-674** (Uncontrolled Recursion) — Denial of Service via stack exhaustion
영향: 작은 stack 환경(Windows main thread 1 MB 기본, pthread 축소 stack, 임베디드)에서 SIGSEGV/access violation crash. 큰 stack 환경(Linux 8 MB)에서도 stack 압박 발생.

## 결함 요약

```c
static void stbi__out_gif_code(stbi__gif *g, stbi__uint16 code)
{
   ...
   if (g->codes[code].prefix >= 0)
      stbi__out_gif_code(g, g->codes[code].prefix);   // ← 무한 재귀, 깊이 제한 없음
   ...
}
```

LZW prefix chain은 `avail ≤ 8192`로만 제한됨 → 공격자가 하나의 선형 chain을 약 **8190** entries까지 만들 수 있음 → `stbi__out_gif_code`가 약 **8190 깊이** 재귀.

## 환경별 영향

| 환경 | 기본 stack | 결함 영향 |
|---|---|---|
| Linux x86_64 main thread | 8 MB | 압박, 보통 crash 안 함 |
| **Windows main thread** | **1 MB** | **stack overflow → access violation** |
| **pthread default** (`pthread_attr_init`) | **2 MB** | 다른 stack 사용량과 합산 시 crash 가능성 |
| **embedded RTOS / IoT** | 4-64 KB | **즉시 stack overflow** |
| Linux `ulimit -s 256` (256 KB) | 256 KB | 결정론적 SIGSEGV (PoC가 이걸로 검증) |

## Trigger 메커니즘

LZW chain 구성:

1. `lzw_min_code_size = 2` → `clear=4`, `end=5`, `avail` 시작 6.
2. literal `0` 송출 → `oldcode = 0`, `g->codes[0..3]`만 init (`prefix = -1`).
3. 각 iter에서 현재 `avail` 값을 그대로 송출 → stb_image가 `codes[avail].prefix = oldcode`로 set, 그 후 재귀 호출. `oldcode`는 새 code로 갱신.
4. 8000+ iter 반복 → chain 길이 = iter 수 + 1.
5. end-of-stream `5` 송출.

각 새 entry의 prefix는 직전 entry → chain 선형. `out_gif_code(latest)` 호출 시 latest → latest-1 → latest-2 → ... → 0 (prefix=-1) 까지 재귀.

## 파일 구성

| 파일 | 설명 |
|---|---|
| `generate_poc_gif.py` | 1×1 GIF 생성기 (`--depth N`로 chain 길이 조절, 기본 ~8184) |
| `poc.c` | `stbi_load(...)` 호출자 + RLIMIT_STACK 출력 |
| `build_and_run.sh` | upstream fetch + 빌드 + 두 번 실행 (기본 stack / `ulimit -s 256`) |
| `README.md` | 이 문서 |

## 재현 (Linux)

```bash
chmod +x build_and_run.sh
./build_and_run.sh
```

스크립트는 두 번 실행:
1. **기본 stack**: 보통 정상 종료 (chain 모두 처리되고 GIF는 1×1로 디코드 — stb의 raster boundary 검사가 다 catch).
2. **`ulimit -s 256`**: SIGSEGV (exit 139). 결함 증명.

## 재현 (Windows)

```powershell
# wget은 PowerShell 내장 alias
Invoke-WebRequest https://raw.githubusercontent.com/nothings/stb/master/stb_image.h -OutFile stb_image.h
python generate_poc_gif.py poc.gif
gcc -O0 -g poc.c -o poc.exe   # MinGW
.\poc.exe poc.gif
# -> EXCEPTION_STACK_OVERFLOW (Windows 기본 main thread stack 1 MB)
```

`/STACK:524288` 같은 작은 stack으로 link하면 더 결정론적으로 crash.

## 영향 분석

- **Severity**: Medium-High.
- **공격 벡터**: 신뢰되지 않은 GIF를 처리하는 모든 사용처.
  - 게임 로딩 시 사용자 mod의 GIF asset
  - chat/메신저 thumbnail 생성 service
  - browser/뷰어 pre-render
  - 임베디드 IoT (e.g. e-paper display, 카메라)
- **Reliability**: 매우 높음. 구조적 결함 (재귀 깊이 제한 없음). 확률성 없음.
- **Chain 가능성**: stack overflow가 인접 메모리(다른 thread stack, heap guard 등)에 닿으면 추가 영향. ASLR/canary 우회와 결합 시 RCE 가능성도 이론적으로 존재 (단, 일반적으로는 DoS).

## 패치 제안

**옵션 A** — 재귀를 iterative로 변환 (가장 견고):

```c
static void stbi__out_gif_code(stbi__gif *g, stbi__uint16 code)
{
   /* The prefix chain is at most 8192 entries; resolve it into a
    * fixed-size buffer iteratively to avoid stack recursion. */
   stbi__uint16 stack[8192];
   int sp = 0;
   while (g->codes[code].prefix >= 0 && sp codes[code].prefix;
   }
   stack[sp++] = code;
   while (sp > 0) {
      stbi__uint16 cur = stack[--sp];
      /* original per-code rendering body, factored out: */
      stbi__render_gif_pixel(g, cur);
   }
}
```

**옵션 B** — 깊이 제한:

```c
static void stbi__out_gif_code(stbi__gif *g, stbi__uint16 code, int depth)
{
   if (depth > 4096) return;   /* defensive cap */
   if (g->codes[code].prefix >= 0)
      stbi__out_gif_code(g, g->codes[code].prefix, depth + 1);
   ...
}
```

옵션 A가 정석. stb의 minimal-dependency 철학과도 맞음 (8192 short = 16 KB heap 또는 큰 stack 1회).

## Disclosure

다른 두 결함 (`convert_format16` heap overflow, BMP palette uninit-read)과 함께 nothings/stb GitHub Security Advisory에 묶어 보고 권장.

## 라이선스

stb 라이선스(Public Domain / MIT-0)와 호환. 보안 연구 목적 전용.