Meta warnt vor FreeType-Schwachstelle (CVE-2025-27363), die aktiv ausgenutzt werden kann

Schwachstelle

Meta hat davor gewarnt, dass eine Sicherheitslücke in der Open-Source-Schriftart-Rendering-Bibliothek FreeType möglicherweise in großem Stil ausgenutzt wird.

Der Schwachstelle wurde die Kennung CVE-2025-27363 zugewiesen, mit einem CVSS-Score von 8.1, was auf einen hohen Schweregrad hindeutet. Die als Out-of-Bounds-Write-Fehler beschriebene Schwachstelle könnte beim Parsen bestimmter Schriftartendateien zur Remotecodeausführung ausgenutzt werden.

"In FreeType-Versionen 2.13.0 und später besteht ein Out-of-Bounds-Write-Fehler, wenn versucht wird, Font-Sub-Glif-Strukturen in Verbindung mit TrueType-GX- und variablen Font-Dateien zu analysieren", so das Unternehmen in einer Warnung.

"Der anfällige Code ordnet einen vorzeichenbehafteten kurzen Wert einem vorzeichenlosen langen Wert zu und fügt dann einen statischen Wert hinzu, was dazu führt, dass ein zu kleiner Puffer-Heap umschlossen und zugewiesen wird. Der Code schreibt dann bis zu 6 vorzeichenbehaftete Ganzzahlen außerhalb der Grenzen in diesen Puffer. Dies kann zur Ausführung von beliebigem Code führen".

Das Unternehmen machte keine genauen Angaben darüber, wie die Schwachstelle ausgenutzt wird, wer dahinter steckt und welches Ausmaß die Angriffe haben. Es räumte jedoch ein, dass der Fehler "möglicherweise in freier Wildbahn ausgenutzt wurde".

Der FreeType-Entwickler Werner Lemberg erklärte auf Anfrage gegenüber The Hacker News, dass die Sicherheitslücke bereits seit fast zwei Jahren behoben ist. "FreeType-Versionen über 2.13.0 sind nicht mehr betroffen", sagte Lemberg.

In einer separaten Nachricht, die auf der Mailingliste oss-security von Open Source Security veröffentlicht wurde, stellte sich heraus, dass mehrere Linux-Distributionen eine veraltete Version der Bibliothek verwenden, was sie anfällig für die Schwachstelle macht. Unter ihnen sind...

AlmaLinux

Alpen-Linux

Amazon Linux 2

Debian Stable / Devuan

RHEL / CentOS Stream / Alma Linux / usw. 8 und 9

GNU Guix

Mageia

OpenMandriva

openSUSE Leap

Slackware und

Ubuntu 22.04

Angesichts der aktiven Ausnutzung wird Benutzern empfohlen, ihre Instanzen auf die neueste Version von FreeType (2.13.3) zu aktualisieren, um optimalen Schutz zu gewährleisten.

SOC