CVE-2025-21042

Falha de escrita fora dos limites (out-of-bounds write) na biblioteca proprietária de decodificação de imagens da Samsung, libimagecodec.quram.so, presente no framework de mídia do Android em dispositivos Samsung. Foi usada como zero-day desde pelo menos meados de 2024 para entregar o spyware comercial LANDFALL via imagens DNG malformadas enviadas por aplicativos de mensagem, antes de ser corrigida pela Samsung em abril de 2025. O CVSS 8.8 é coerente com o impacto real: execução de código nativo sem privilégios prévios, mas com interação do usuário (abrir/visualizar a imagem) como pré-condição.

A falha (CWE-787) está no parser de imagens DNG (Digital Negative, um formato baseado em TIFF) dentro da biblioteca nativa libimagecodec.quram.so, componente de terceiro (Quramsoft) integrado ao pipeline de processamento de mídia do Android em dispositivos Samsung. Um arquivo DNG malformado com metadados/tags TIFF manipulados leva o decodificador a escrever dados fora do buffer alocado durante o parsing, corrompendo memória em um processo nativo com acesso ao subsistema de mídia.

O fornecedor não publicou detalhes de qual estrutura de dados ou tag específica dispara a corrupção — a descrição oficial da Samsung se limita a 'out-of-bounds write... allows remote attackers to execute arbitrary code'. A análise da Unit 42 confirma o vetor de entrada (arquivo DNG) e o resultado (execução de biblioteca nativa maliciosa), mas não reverteu publicamente o ponto exato do bug na lib fechada da Quramsoft.

Nos exemplares analisados pela Unit 42, o arquivo DNG malformado carrega um arquivo ZIP anexado ao final do arquivo (após o conteúdo de imagem legítimo). O exploit, ao corromper memória via o out-of-bounds write, é usado para extrair e carregar bibliotecas .so contidas nesse ZIP embutido, que constituem os módulos do spyware LANDFALL — ou seja, a vulnerabilidade de memória é usada como primitivo de execução de código para then plantar o payload de espionagem.

Vale notar que essa vulnerabilidade não é um caso isolado: a Samsung corrigiu, em setembro de 2025, uma segunda falha zero-day (CVE-2025-21043) na mesma biblioteca de processamento de imagens, indicando problemas estruturais recorrentes no codec Quram.

O vetor documentado é entrega de um arquivo de imagem DNG malformado via aplicativo de mensagens — a Unit 42 identificou amostras com nomes de arquivo típicos de anexos do WhatsApp (ex.: 'WhatsApp Image 2025-02-10 at 4.54.17 PM.jpeg', 'IMG-20250120-WA0005.jpg') enviadas entre agosto de 2024 e fevereiro de 2025. A pré-condição real é a interação do usuário (UI:R no vetor CVSS) — abrir, visualizar ou permitir o processamento automático da imagem pelo app de mensagens é o que aciona o parser vulnerável; não há indício reportado de exploração totalmente sem toque em todos os casos, embora a Unit 42 descreva a cadeia como 'possivelmente zero-click' dependendo de como o app de mensagens processa a mídia recebida.

Não é necessária autenticação nem configuração não padrão do dispositivo — qualquer Samsung Galaxy rodando uma versão de firmware anterior ao SMR Apr-2025 Release 1 e capaz de receber a imagem processa o arquivo com a biblioteca vulnerável. A complexidade de exploração é baixa do ponto de vista do CVSS (AC:L), mas construir um exploit funcional exige conhecimento detalhado do formato DNG/TIFF e do comportamento interno da lib fechada da Quramsoft — por isso o exploit ficou restrito a um ator de espionagem com recursos de nível comercial (a campanha LANDFALL, com indícios de vínculo a fornecedor de spyware do tipo PSOA atuando no Oriente Médio), e não a exploração massiva e oportunista.

O resultado final documentado é execução de código nativo usada para extrair e carregar módulos de spyware (LANDFALL) com capacidades de gravação de microfone, rastreamento de localização e coleta de fotos, contatos e registros de chamada — ou seja, comprometimento total do dispositivo alvo, não apenas travamento de app.

A correção oficial é atualizar o firmware do dispositivo Samsung para o pacote de segurança SMR Apr-2025 Release 1 ou posterior. Como a falha está em componente nativo do framework de mídia (não em um app isolado que possa ser desinstalado), não existe uma flag de configuração de usuário que desative apenas a lib vulnerável sem quebrar o processamento normal de imagens do sistema — a atualização de firmware é o único paliativo com efeito real sobre a causa raiz.

Como controle compensatório parcial em ambientes onde a atualização de firmware não é imediata (parque gerenciado, aprovação de OTA pendente), reduzir a superfície de entrega — desativar download/processamento automático de mídia recebida em aplicativos de mensagens, ou restringir o recebimento de anexos de contatos desconhecidos — diminui a chance do arquivo malicioso chegar ao decodificador sem interação explícita, mas não elimina o risco se o usuário abrir o anexo manualmente. Isso não é mitigação da vulnerabilidade, apenas redução de exposição ao vetor observado.

Não funciona como mitigação: apps antivírus de terceiros no Android têm acesso limitado ao pipeline de mídia do sistema e não interceptam o parsing feito pela lib nativa antes que ele ocorra. Dado que a CISA incluiu a CVE no catálogo KEV com prazo de correção até 01/12/2025, organizações com frotas de dispositivos Samsung devem tratar a atualização como obrigatória, não opcional, especialmente considerando que a mesma biblioteca recebeu outro patch de zero-day (CVE-2025-21043) em setembro de 2025 — aplicar apenas o patch de abril não cobre essa segunda falha.

Nas amostras analisadas pela Unit 42, o indicador estrutural é um arquivo de imagem DNG/TIFF com um arquivo ZIP anexado ao final do arquivo (assinatura 'PK\x03\x04' aparecendo após o conteúdo normal de imagem) — algo detectável por inspeção de arquivo ou regra de parsing que valide integridade estrutural de DNG recebido por apps de mensagem. Hashes SHA256 de amostras específicas foram publicados pela Unit 42 (ex.: 9297888746158e38d320b05b27b0032b2cc29231be8990d87bc46f1e06456f9, b06dec10e8ad0005ebb9da24204c96cb2e297bd8d418bc1c8983d066c099775, c0f30c2a2d6f95b57128e78dc0b7180e69315057e62809de1926b75f86516b2, b975b499baa3119ac5c2b3379306d4e50b9610e9bba3e56de7dfd3927a96032).

Não há sinal de rede confiável e genérico para detectar exploração em trânsito — o tráfego é criptografado ponta a ponta pelo aplicativo de mensagens usado na entrega (WhatsApp, segundo os nomes de arquivo observados), e a exploração ocorre localmente no dispositivo durante o parsing da imagem recebida, sem padrão de rede distinto identificável antes da entrega do payload.