问题描述

src/readcdf.c 的 cdf_check_summary_info() 将 CDF（OLE2）目录项名称（最多 32 个 UTF-16 字符）逐字符拷贝到 char name[__arraycount(d->d_name)]（32 字节）栈缓冲区，未写入结尾 NUL，随后把该缓冲区传入 cdf_app_to_mime()。该函数使用 strcasestr() 对目录名做子串匹配，会越过 32 字节缓冲区继续读取，造成栈越界读（CWE-125 / CWE-170）。file/libmagic 常用于扫描不受信任文件，恶意 CDF 文件可触发该问题。

影响范围

• 受影响版本：file 5.48（openEuler master 当前为 5.48-1，未含修复）
• 触发条件：解析含 SummaryInformation 流的 CDF 文件，且目录项名称长度达到 32 个 UTF-16 字符（无 NUL）；需要进入 MIME 类型判定路径（如 file --mime-type）

复现

基于 file 5.48 官方 tarball 使用 ASan 构建，构造 5632 字节 PoC CDF（目录项名称由 32 个 A 的 UTF-16 编码组成且无 NUL，SummaryInformation 流属性类型为 CDF_NULL），执行：

file --mime-type -m magic/magic.mgc poc.cdf

修复前 ASan 报告：

ERROR: AddressSanitizer: stack-buffer-overflow
READ of size 73
    #0 __interceptor_...
    #1 strcasestr
    #2 cdf_app_to_mime src/readcdf.c:130
    #3 cdf_check_summary_info src/readcdf.c:416
    #4 file_trycdf src/readcdf.c:655

修复

回移上游提交，将栈缓冲区扩大 1 字节并在拷贝后显式写入 '\0'，确保传给 strcasestr() 的字符串以 NUL 结尾。

上游提交：https://github.com/file/file/commit/029e5bae7362e71671b3e1f316d4f3936d8a7819

修复后行为：同一 PoC 不再触发 ASan，输出 application/vnd.ms-office；正常文件类型识别结果与修复前一致。

openEuler 侧进展

已按 backport 规范生成补丁 backport-cdf-name-nul-terminate.patch，在 master 分支（5.48-2）验证并推送，PR 随后提交。

上游未为此分配 CVE，属普通缺陷修复。