Meta ha advertido que una vulnerabilidad de seguridad que impacta el Tipo de freeet La biblioteca de renderizado de fuentes de código abierto puede haber sido explotada en la naturaleza.
A la vulnerabilidad se le ha asignado el identificador CVE CVE-2025-27363y lleva una puntuación CVSS de 8.1, lo que indica alta gravedad. Descrito como una falla de escritura fuera de los límites, podría explotarse para lograr la ejecución de código remoto al analizar ciertos archivos de fuentes.
“Se existe una escritura fuera de los límites en las versiones de FreeType 2.13.0 y abajo cuando intenta analizar las estructuras del subglyfo de fuentes relacionadas con TrueType GX y archivos de fuentes variables”, la compañía dicho en un aviso.
“El código vulnerable asigna un valor corto firmado a un largo sin firmar y luego agrega un valor estático, lo que hace que envuelva y asigne un búfer de montón demasiado pequeño. El código luego escribe hasta 6 enteros largos firmados de los límites en relación con este búfer. Esto puede resultar en una ejecución de código arbitraria”.
La compañía no compartió ningún detalle sobre cómo se está explotando la deficiencia, quién está detrás de ella y la escala de los ataques. Sin embargo, reconoció que el error “puede haber sido explotado en la naturaleza”.
Cuando se le contactó para hacer comentarios, el desarrollador de FreeType, Werner Lemberg, dijo a The Hacker News que una solución para la vulnerabilidad se ha incorporado durante casi dos años. “Las versiones de Tipo de FreeTy más de 2.13.0 ya no se ven afectadas”, dijo Lemberg.
En mensaje separado Publicado en la lista de correos de seguridad de código abierto, ha salido a la luz que varias distribuciones de Linux están ejecutando una versión obsoleta de la biblioteca, lo que las hace susceptibles a la falla. Esto incluye –
- Almalinux
- Alpine Linux
- Amazon Linux 2
- Debian Stable / Devuan
- Rhel / Centos Stream / Alma Linux / etc. 8 y 9
- GNU GUIX
- Mageia
- OpenMandriva
- OpenSuse Leap
- Slackware, y
- Ubuntu 22.04
A la luz de la explotación activa, se recomienda a los usuarios que actualicen sus instancias a la última versión de Freetype (2.13.3) para una protección óptima.
About the Author
