0x01 漏洞简述
2020年10月22日，360CERT监测发现 Google Chrome 发布了最新桌面版Chrome浏览器，版本86.0.4240.111，此次更新修复了5个安全漏洞，其中最为严重的为 CVE-2020-15999 ，漏洞等级： 高危 ，漏洞评分： 8.8 。
对此，360CERT建议广大用户及时将 Chrome 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。
0x02 风险等级
360CERT对该漏洞的评定结果如下
评定方式 等级 威胁等级 高危 影响面 广泛 360CERT评分 8.8
0x03 漏洞信息
该漏洞由Google P0团队的安全研究员Sergei Glazunov 于10月19日发现，并且发现此前已有在野利用。
该危害是由于FreeType 字体库存在堆溢出漏洞，FreeType官方于10月20日发布了2.10.4版本，修复了更新的5个漏洞，包括此漏洞。
漏洞存在于src/sfnt/pngshim.c:251 的 Load_SBit_Png 函数中：
FT_LOCAL_DEF( FT_Error ) Load_SBit_Png( FT_GlyphSlot slot, FT_Int x_offset, FT_Int y_offset, FT_Int pix_bits, TT_SBit_Metrics metrics, FT_Memory memory, FT_Byte* data, FT_UInt png_len, FT_Bool populate_map_and_metrics, FT_Bool metrics_only ) { [...] png_get_IHDR( png, info, &imgWidth, &imgHeight, &bitdepth, &color_type, &interlace, NULL, NULL ); // *** 1 *** [...] if ( populate_map_and_metrics ) { metrics->width = (FT_UShort)imgWidth; // *** 2 *** metrics->height = (FT_UShort)imgHeight; map->width = metrics->width; map->rows = metrics->height; map->pixel_mode = FT_PIXEL_MODE_BGRA; map->pitch = (int)( map->width * 4 ); [...] if ( populate_map_and_metrics ) { /* this doesn't overflow: 0x7FFF * 0x7FFF * 4 < 2^32 */ FT_ULong size = map->rows * (FT_ULong)map->pitch; // *** 3 *** error = ft_glyphslot_alloc_bitmap( slot, size ); // *** 4 *** if ( error ) goto DestroyExit; } [...] png_read_image( png, rows ); // *** 5 ***（1）处从header通过png_get_IHDR函数获取图像的width 和 height，都为32-bit整数
（2）处将获得的width 和 height 截断，取低16-bit存放在 TT_SBit_Metrics metrics 结构中
（3）处使用截断的值来计算位图的大小，
（4）处将（3）处计算得到的size来分配空间
（5）png_struct 传入png_read_image，由于png_struct 结构保存的值都是32-bit，因此截断值计算出来的空间无法匹配，造成堆溢出漏洞。
目前该漏洞的Poc文件已经公布。
0x04 补丁分析
diff --git a/src/sfnt/pngshim.c b/src/sfnt/pngshim.c index 2e64e5846..7c98c2282 100644 --- a/src/sfnt/pngshim.c +++ b/src/sfnt/pngshim.c @@ -335,6 +335,11 @@ metrics->width = (FT_UShort)imgWidth; metrics->height = (FT_UShort)imgHeight; + /* bail out if the width and/or height were truncated */ + if ( metrics->width != imgWidth || + metrics->height != imgHeight ) + goto DestroyExit; + map->width = metrics->width; map->rows = metrics->height; map->pixel_mode = FT_PIXEL_MODE_BGRA;补丁比较了width 和 height的原始值和截断后的值是否相同，如果不同，说明原始值已经大于0xffff，可能造成溢出，跳转到DestroyExit。
0x05 影响版本
< Chrome v86.0.4240.111
< FreeType 2.10.4
0x06 修复建议
Chrome 更新到最新版本v86.0.4240.111
FreeType 更新到最新版本2.10.4
0x07 时间线
2020-10-19 Sergei Glazunov 发现此漏洞
2020-10-20 FreeType发布最新2.10.4版本
2020-10-20 Chrome发布最新86.0.4240.111版本
2020-10-22 360CERT发布漏洞通告
0x08 参考链接
https://thehackernews.com/2020/10/chrome-zeroday-attacks.html https://savannah.nongnu.org/bugs/?59308 https://chromereleases.googleblog.com/2020/10/stable-channel-update-for-desktop_20.html文章原文链接:https://www.anquanke.com/post/id/220524
