近期,安全領(lǐng)域傳來一則重要消息,一款備受信賴的開源字體渲染庫FreeType被曝存在高危安全漏洞。這一發(fā)現(xiàn)由Facebook旗下的安全研究團隊揭露,漏洞編號為CVE-2025-27363,其風險等級高達8.1/10,引起了業(yè)界的廣泛關(guān)注。
FreeType,作為開源界的明星產(chǎn)品,承擔著將字符轉(zhuǎn)換為位圖以供顯示的重任。它廣泛應(yīng)用于眾多操作系統(tǒng)和軟件中,包括Android、macOS等主流操作系統(tǒng),以及眾多游戲引擎,是字體渲染不可或缺的一環(huán)。
據(jù)悉,該漏洞主要存在于FreeType處理TrueType GX和可變字體文件的過程中。具體而言,是由于在處理字體子字形結(jié)構(gòu)時,代碼邏輯出現(xiàn)了不當操作,導致一個有符號短整型數(shù)值被錯誤地賦值給無符號長整型變量。這一錯誤在后續(xù)的計算中引發(fā)了數(shù)值回繞現(xiàn)象,使得分配的堆緩沖區(qū)尺寸過小,進而可能引發(fā)多達6個有符號長整型數(shù)值的越界寫入。
這一漏洞的嚴重性不容忽視。攻擊者一旦成功利用該漏洞,就有可能實現(xiàn)任意代碼執(zhí)行,對受影響的系統(tǒng)構(gòu)成嚴重威脅。考慮到FreeType的廣泛應(yīng)用,這一漏洞的潛在影響范圍極廣。
值得慶幸的是,該漏洞已在FreeType的2.13.0版本中得到了修復。然而,由于許多用戶仍然在使用舊版本的操作系統(tǒng)或軟件,因此該漏洞的威脅依然存在。也不能排除已有黑客嘗試利用此漏洞進行攻擊的可能性。
針對這一情況,F(xiàn)acebook的安全研究團隊強烈建議所有受影響的用戶盡快將系統(tǒng)或單獨安裝的FreeType升級至最新版本。這是消除潛在安全隱患、保障系統(tǒng)安全的最為直接和有效的方法。同時,也提醒廣大用戶保持警惕,密切關(guān)注相關(guān)安全動態(tài),以確保自身信息安全不受侵害。