CVE-2025-21043

Falha de escrita fora dos limites (out-of-bounds write) na biblioteca libimagecodec.quram.so, componente de terceiros (Quramsoft) usado por dispositivos Samsung para decodificação de imagens, que permite execução remota de código. A CVE está no catálogo KEV da CISA com exploração confirmada in-the-wild, o que eleva sua prioridade de correção muito além do que o CVSS 8.8 já sugere — o vetor UI:R indica que ainda depende de alguma interação do usuário, não é totalmente zero-click segundo os dados disponíveis.

A vulnerabilidade é classificada como CWE-787 (Out-of-Bounds Write) e reside no parser de imagens da libimagecodec.quram.so, biblioteca nativa (.so) integrada ao firmware Samsung para decodificar formatos de imagem usados pelo sistema e por apps como galeria, câmera e mensageria. Bibliotecas desse tipo processam headers e blocos de dados de arquivos de imagem construídos externamente; quando o parser calcula incorretamente o tamanho de um buffer ou não valida limites antes de copiar dados decodificados, um arquivo de imagem malformado pode fazer o processo escrever além da região de memória alocada.

O atacante controla o conteúdo do arquivo de imagem entregue à vítima — os campos de header, dimensões declaradas e blocos de dados comprimidos que o decoder interpreta. Corrompendo esses valores de forma calculada, é possível sobrescrever memória adjacente ao buffer, o que em bibliotecas de mídia nativas costuma levar a corrupção de heap explorável para controle de fluxo de execução e, em última instância, RCE no contexto do processo que carrega a biblioteca.

As fontes disponíveis (advisory Samsung de setembro/2025 e o registro no KEV/NVD) não detalham qual formato de imagem específico, qual função do decoder, nem qual SVE interno da Samsung corresponde a esta CVE — a página de segurança da Samsung lista dezenas de créditos SVE do mês sem atribuição individual clara a CVE-2025-21043. Não há write-up técnico público (Project Zero, Quramsoft ou terceiros) disponível nas fontes lidas que descreva a função vulnerável ou o formato de imagem específico.

O vetor remoto (AV:N) combinado com escopo sem privilégios (PR:N) indica que basta entregar um arquivo de imagem malicioso ao dispositivo — por app de mensagens, navegador, e-mail ou qualquer canal que faça a Samsung processar a imagem via essa biblioteca. O componente UI:R do CVSS indica que a exploração, segundo o próprio vetor publicado, exige alguma ação da vítima (abrir a imagem, visualizar um anexo, etc.) — não é um zero-click puro conforme os metadados disponíveis, embora apps que geram preview automático de mídia recebida possam reduzir essa barreira na prática.

A inclusão no catálogo KEV da CISA (adicionada em 02/10/2025, prazo de correção 23/10/2025) confirma exploração ativa observada, mas as fontes consultadas não detalham o ator, a campanha ou o contexto de uso (não há indicação de uso em ransomware, segundo o próprio KEV). Bibliotecas de codec de imagem da Quramsoft embutidas em firmwares Samsung já foram alvo recorrente de cadeias de exploração usadas por spyware comercial em anos anteriores, mas não há confirmação nas fontes lidas de que este caso específico segue o mesmo padrão — é contexto histórico do componente, não fato apurado desta CVE.

O resultado final documentado é execução arbitrária de código no contexto do processo que invoca a biblioteca (tipicamente processo de mídia/galeria do sistema), o que em dispositivos móveis costuma ser o primeiro estágio de uma cadeia de exploração maior, combinada com escalonamento de privilégio ou escape de sandbox — não há confirmação nas fontes de que isso ocorreu aqui.

A correção é aplicar a atualização de segurança SMR Sep-2025 Release 1 (Samsung Mobile Release) ou posterior, distribuída via atualização de firmware OTA do dispositivo. O advisory da Samsung não detalha um número de versão específico da biblioteca libimagecodec.quram.so nem oferece uma flag de configuração ou paliativo alternativo — a atualização de firmware é o único caminho de correção documentado nas fontes.

Dado que a exploração exige interação do usuário com um arquivo de imagem malicioso, como controle compensatório prático (não substitui o patch) é razoável restringir o recebimento automático/preview de mídia de origens não confiáveis em apps de mensageria, quando essa configuração existir no app — mas isso reduz superfície, não elimina o risco, já que qualquer canal que entregue uma imagem processada pela lib (navegador, e-mail, compartilhamento de arquivo) permanece exposto.

Não há mitigação via WAF ou controle de rede eficaz, pois a falha está no processamento local de mídia no dispositivo, não em um serviço de rede exposto. Dispositivos Samsung fora do ciclo de suporte de segurança (sem elegibilidade para SMR Sep-2025 Release 1) não têm correção disponível segundo as fontes consultadas.

Não há assinatura ou indicador de comprometimento (IoC) público disponível nas fontes consultadas — nem a Samsung nem a CISA publicaram detalhes de payload, hash de arquivo malicioso ou padrão de tráfego associado à exploração. Na ausência de IoCs conhecidos, o sinal prático a monitorar em ambiente MDM/EMM corporativo é crash ou reinício anômalo recorrente de processos de mídia/galeria em dispositivos Samsung não atualizados, e a simples verificação de nível de patch de segurança (SMR) desatualizado em frota gerenciada, que é o indicador mais confiável de exposição disponível hoje.