Fix potential overflow in jpeg exif reader. Found by aedla@google.com.
authorthakis@chromium.org <thakis@chromium.org@268f45cc-cd09-0410-ab3c-d52691b4dbfc>
Tue, 30 Oct 2012 23:43:48 +0000 (23:43 +0000)
committerthakis@chromium.org <thakis@chromium.org@268f45cc-cd09-0410-ab3c-d52691b4dbfc>
Tue, 30 Oct 2012 23:43:48 +0000 (23:43 +0000)
https://bugs.webkit.org/show_bug.cgi?id=100320

Reviewed by Eric Seidel.

Adding more than 1 element past an array is undefined, so don't do it.

No test, since in practice ifd will just overflow and `end - ifd` will
become much larget than 2 and the `if (end - ifd < 2)` a few lines
down will catch that case.

* platform/image-decoders/jpeg/JPEGImageDecoder.cpp:
(WebCore::readImageOrientation):

git-svn-id: https://svn.webkit.org/repository/webkit/trunk@132961 268f45cc-cd09-0410-ab3c-d52691b4dbfc

Source/WebCore/ChangeLog
Source/WebCore/platform/image-decoders/jpeg/JPEGImageDecoder.cpp

index b48e08f..1fa6746 100644 (file)
@@ -1,3 +1,19 @@
+2012-10-30  Nico Weber  <thakis@chromium.org>
+
+        Fix potential overflow in jpeg exif reader. Found by aedla@google.com.
+        https://bugs.webkit.org/show_bug.cgi?id=100320
+
+        Reviewed by Eric Seidel.
+
+        Adding more than 1 element past an array is undefined, so don't do it.
+
+        No test, since in practice ifd will just overflow and `end - ifd` will
+        become much larget than 2 and the `if (end - ifd < 2)` a few lines
+        down will catch that case.
+
+        * platform/image-decoders/jpeg/JPEGImageDecoder.cpp:
+        (WebCore::readImageOrientation):
+
 2012-10-26  Alexandru Chiculita  <achicu@adobe.com>
 
         [CSS Shaders] Add the ValidatedCustomFilterOperation class
index afb4475..e43743f 100644 (file)
@@ -187,7 +187,10 @@ static ImageOrientation readImageOrientation(jpeg_decompress_struct* info)
         unsigned ifdOffset;
         if (!checkExifHeader(marker, isBigEndian, ifdOffset))
             continue;
-        ifdOffset += 6; // Account for 'Exif\0<fill byte>' header.
+        const unsigned offsetToTiffData = 6; // Account for 'Exif\0<fill byte>' header.
+        if (marker->data_length < offsetToTiffData || ifdOffset >= marker->data_length - offsetToTiffData)
+            continue;
+        ifdOffset += offsetToTiffData;
 
         // The jpeg exif container format contains a tiff block for metadata.
         // A tiff image file directory (ifd) consists of a uint16_t describing