Facebook advierte que una vulnerabilidad de FreeType en todas las versiones hasta la 2.13 puede provocar la ejecución de código arbitrario, y hay informes de que la vulnerabilidad ha sido explotada en ataques.
FreeType es una popular biblioteca de renderizado de fuentes de código abierto que se utiliza para mostrar texto y añadir texto a imágenes mediante programación. Ofrece funcionalidad para cargar, rasterizar y renderizar fuentes en varios formatos, como TrueType (TTF), OpenType (OTF) y otros.
La biblioteca está instalada en millones de sistemas y servicios, incluyendo Linux, Android, motores de juegos, frameworks de interfaz gráfica de usuario (GUI) y plataformas en línea.
La vulnerabilidad, identificada como CVE-2025-27363 y con una puntuación de gravedad CVSS v3 de 8,1 («alta»), se corrigió en la versión 2.13.0 de FreeType el 9 de febrero de 2023.
Facebook divulgó la falla, advirtiendo que es explotable en todas las versiones de FreeType hasta la 2.13 y que existen informes de su explotación activa en ataques.
«Existe una escritura fuera de límites en las versiones 2.13.0 y anteriores de FreeType al intentar analizar estructuras de subglifos de fuentes relacionadas con TrueType GX y archivos de fuentes variables», indica el boletín.
«El código vulnerable asigna un valor «signed short» a un valor «unsigned long» y luego añade un valor «static», lo que provoca que se envuelva y asigne un búfer de montón demasiado pequeño».
El código escribe entonces hasta 6 enteros largos con signo fuera de los límites de este búfer. Esto puede provocar la ejecución de código arbitrario.
Facebook podría depender de FreeType en cierta medida, pero no está claro si los ataques detectados por su equipo de seguridad se produjeron en su plataforma o si los descubrieron en otro lugar.
Dado el uso generalizado de FreeType en múltiples plataformas, los desarrolladores de software y administradores de proyectos deben actualizar a FreeType 2.13.3 (última versión) lo antes posible.
Aunque la última versión vulnerable (2.13.0) data de hace dos años, las versiones anteriores de la biblioteca pueden persistir en proyectos de software durante períodos prolongados, por lo que es importante abordar la falla lo antes posible.
Info – Ciberseguridad Latam