Il 12 agosto 2026 TrendAI Zero Day Initiative ha pubblicato l'advisory ZDI-26-529 relativo a una vulnerabilità heap-based buffer overflow nel processing TIFF di Samsung Galaxy S25. La disclosure arriva con un ritardo significativo: il vendor aveva già rilasciato la correzione nel SMR Jul-2026 Release 1. Il caso ripropone il problema del gap temporale tra disponibilità tecnica della patch e awareness pubblica, un'asimmetria che penalizza gli utenti con update management disattento o dispositivi aziendali in fleet BYOD con cicli di approvazione lenti.
- ZDI-26-529 / CVE-2026-21045: heap-based buffer overflow nella libreria
libimagecodec.media.quram.sodi Samsung Galaxy S25, con impatto RCE e CVSS 4.0 score 8.4 HIGH - L'attacco richiede interazione utente: apertura di file TIFF malizioso o visita a pagina web malevola, vettore fertile per ingegneria sociale
- La correzione è disponibile dal SMR Jul-2026 Release 1; la disclosure pubblica coordinata è del 11 agosto 2026, circa tre mesi dopo il report al vendor del 6 maggio
- Il record CVE conferma i dispositivi "unaffected" su Android 14, 15 e 16 con SMR Jul-2026 Release; Samsung ha riconosciuto la stessa vulnerabilità come SVE-2026-1087 nel proprio advisory di sicurezza
Il difetto: heap overflow nel parser TIFF proprietario
Il nucleo tecnico risiede nella libreria libimagecodec.media.quram.so, componente codec immagini proprietario di Samsung. Durante il parsing del formato TIFF, la mancata validazione della lunghezza dei dati utente prima della copia in un buffer heap-based consente la sovrascrittura controllata di memoria. L'exploitation porta all'esecuzione di codice arbitrario nel contesto del processo codec immagini, con potenziale escalation verso privilegi di sistema.
"The specific flaw exists within the processing of TIFF files. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process."
— ZDI Advisory ZDI-26-529
Il formato TIFF, nato per immagini ad alta fedeltà e scansione documentale, rimane pervasivo in ambito enterprise: allegati email, flussi documentali, scanner di rete, fax digitali. La sua presenza apparentemente innocua abbassa la guardia dell'utente finale, rendendo il vettore "user interaction required" particolarmente insidioso per campagne di spear-phishing o distribuzione di documenti compromessi.
La metrica di rischio: CVSS 8.4 e il vettore network
Secondo il record ufficiale CVE-2026-21045, la vulnerabilità registra un punteggio CVSS 4.0 di 8.4 (HIGH). Il vector string completo — CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N — segnala un attacco rete-accessibile con complessità bassa e nessun privilegio preliminare richiesto. L'elemento AT:P (Attack Type: Phishing) specifica la necessità di interazione umana, coerente con la descrizione ZDI.
La severità HIGH, combinata con l'accessibilità di rete e l'assenza di requisiti di autenticazione, posiziona la vulnerabilità in una fascia di rischio che le security team mobile non possono sottovalutare. Per i dispositivi Galaxy S25 in configurazione BYOD aziendale, il profilo di attacco si sovrappone esattamente ai punti deboli delle policy di patch management: utenti che ritardano l'installazione degli SMR per inerzia personale o vincoli amministrativi.
Timeline e il problema della silent patch
La cronologia documentata da ZDI mostra una coordinazione disclosure estesa: report al vendor il 6 maggio 2026, release pubblica dell'advisory l'11 agosto 2026. Il periodo di circa tre mesi tra segnalazione e disclosure è nella media delle politiche ZDI, ma il dato rilevante per la postura di sicurezza è un altro: la patch era già disponibile al pubblico dal luglio 2026, integrata nel ciclo SMR mensile di Samsung.
Il record CVE conferma esplicitamente: "unaffected at SMR Jul-2026 Release in Android 14, 15, 16". Samsung, nel proprio security bulletin di luglio, ha classificato la vulnerabilità come SVE-2026-1087 con la descrizione: "Out-of-bounds write in parsing TIFF format in libimagecodec.media.quram.so prior to SMR Jul-2026 Release 1 allows remote attackers to write out-of-bounds memory". La corrispondenza testuale con l'advisory ZDI è totale, confermando che si tratta della stessa falla tracciata con identificatori diversi.
L'effetto "silent patch" — correzione distribuita senza advisory dettagliato che ne spieghi gravità e meccanismo — lascia gli utenti nell'ignoranza del rischio specifico fino alla disclosure coordinata. Gli aggiornatori proattivi sono protetti; gli altri, potenzialmente esposti per settimane senza consapevolezza del motivo per aggiornare.
Cosa fare adesso
Le fonti documentano azioni concrete e verificabili:
- Verificare SMR installato: accertare che il dispositivo Galaxy S25 abbia il Security Maintenance Release di luglio 2026 o successivo; il record CVE indica "unaffected at SMR Jul-2026 Release in Android 14, 15, 16"
- Priorità agli allegati TIFF: trattare file TIFF provenienti da fonti non verificate come vettori di rischio elevato fino a conferma di patch applicata, data la facilità di diffusione via email e messaging
- Accelerare cicli BYOD: per le fleet mobile aziendali, ridurre il time-to-patch degli SMR Samsung nei policy di gestione dispositivi, riconoscendo che il ritardo tra fix e disclosure espone finestre di rischio non percepite
- Monitorare SVE-2026-1087: la fonte Samsung non documenta mitigazioni alternative o workaround; l'unico stato confermato come non vulnerabile è quello post-SMR Jul-2026
Il brief non elenca controlli compensativi come restrizioni di formato, sandboxing codec o policy di attachment. Non emergono inoltre informazioni su exploit in-the-wild, PoC pubblici o dettagli tecnici della correzione implementata da Samsung.
Perché il caso ZDI-26-529 interessa oltre il singolo dispositivo
La vicenda non si risolve nel patch management individuale. Il parser TIFF di libimagecodec.media.quram.so è componente proprietario Samsung, non codice AOSP: il fix dipende esclusivamente dal vendor e non è audibile dalla comunità open source. Questa chiusura architetturale, tipica dello stack software dei produttori OEM Android, concentra la responsabilità della validazione input in un unico attore.
Il gap di disclosure — luglio fix, agosto awareness — non è tecnicamente una regressione della supply chain, ma ne rivela una tensione strutturale: la velocità di risposta del vendor supera quella di comunicazione del rischio, e gli utenti non sono incentivati a installare promptamente aggiornamenti la cui criticità non è ancora narrabile. Per il Galaxy S25, dispositivo di punta del portfolio Samsung, la superficie d'attacco è massima: ampia distribuzione, utenza enterprise crescente, formato TIFF ancora pervasivo nei flussi documentali.
Il dossier non documenta se varianti hardware del Galaxy S25 — S25+, S25 Ultra, S25 Edge se applicabile — condividano esattamente lo stesso binario vulnerabile. La genericità della dicitura "Galaxy S25 devices" nell'advisory ZDI e la mancanza di specificazione build nel record CVE lasciano questa dimensione non verificata.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-529/
- https://www.cve.org/CVERecord?id=CVE-2026-21045
- https://security.samsungmobile.com/securityUpdate.smsb?year=2026&month=07
- https://www.trendmicro.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.