Meta avverte della vulnerabilità di FreeType (CVE-2025-27363) con rischio di sfruttamento attivo

vulnerabilità

Meta ha avvertito che una vulnerabilità di sicurezza che colpisce la libreria di rendering di font open-source FreeType potrebbe essere stata sfruttata in modo selvaggio.

Alla vulnerabilità è stato assegnato l'identificativo CVE-2025-27363, con un punteggio CVSS di 8.1, che indica un'elevata gravità. Descritta come una falla di scrittura fuori dai limiti, potrebbe essere sfruttata per ottenere l'esecuzione di codice remoto durante l'analisi di alcuni file di font.

“Nelle versioni di FreeType 2.13.0 e successive esiste una scrittura fuori dai limiti quando si tenta di analizzare le strutture subglifiche dei font relative ai file di font TrueType GX e variabili”, ha dichiarato la società in un avviso.

“Il codice vulnerabile assegna un valore breve firmato a un valore lungo non firmato e poi aggiunge un valore statico, causando l'avvolgimento e l'allocazione di un buffer heap troppo piccolo. Il codice scrive quindi fino a 6 interi firmati fuori dai limiti rispetto a questo buffer. Questo può portare all'esecuzione di codice arbitrario”.

L'azienda non ha fornito informazioni specifiche su come viene sfruttata la falla, su chi c'è dietro e sulla portata degli attacchi. Tuttavia, ha riconosciuto che il bug “potrebbe essere stato sfruttato in natura”.

Lo sviluppatore di FreeType Werner Lemberg, interpellato per un commento, ha dichiarato a The Hacker News che la correzione della vulnerabilità è stata incorporata da quasi due anni. “Le versioni di FreeType superiori alla 2.13.0 non sono più interessate”, ha dichiarato Lemberg.

In un messaggio separato pubblicato sulla mailing list oss-security di Open Source Security, è emerso che diverse distribuzioni Linux utilizzano una versione obsoleta della libreria, rendendole così suscettibili alla falla. Tra queste vi sono...

AlmaLinux

Alpine Linux

Amazon Linux 2

Debian stabile / Devuan

RHEL / CentOS Stream / Alma Linux / ecc. 8 e 9

GNU Guix

Mageia

OpenMandriva

openSUSE Leap

Slackware e

Ubuntu 22.04

Alla luce dello sfruttamento attivo, si raccomanda agli utenti di aggiornare le proprie istanze all'ultima versione di FreeType (2.13.3) per una protezione ottimale.

SOC