A Meta emitiu um aviso de segurança sobre uma vulnerabilidade recentemente descoberta no Biblioteca de renderização de fontes de código aberto FreeType. Rastreado como CVE-2025-27363, esta falha foi atribuída a pontuação CVSS de 8.1, categorizando-o como um problema de alta gravidade. Especialistas em segurança alertam que esta vulnerabilidade pode ter sido explorado ativamente em ataques do mundo real.
O que é CVE-2025-27363?
Esta falha é uma vulnerabilidade de gravação fora dos limites encontrado em Tipo livre versões 2.13.0 e abaixo. Ela se origina de um erro de cálculo na alocação de memória ao analisar Arquivos TrueType GX e fontes variáveis. Especificamente, a falha ocorre quando:
- UMA assinado curto valor é atribuído a um sem sinal longo, causando um estouro de inteiro.
- Um pequeno buffer de heap é alocado devido a cálculos incorretos.
- Até seis inteiros longos assinados estão escritos fora dos limites, levando ao potencial execução remota de código.
Isso significa que um invasor pode criar um arquivo de fonte malicioso que, quando processado, permite que eles executem código arbitrário e potencialmente assumam o controle do sistema afetado.
Desenvolvedor do FreeType confirma correção
Pesquisador de segurança Werner Lemberg, um desenvolvedor do FreeType, confirmou que uma correção para esse problema foi introduzida quase dois anos atrás. De acordo com Lemberg, qualquer versão acima 2.13.0 não é mais afetado por esta vulnerabilidade.
Distribuições Linux afetadas
Apesar da correção estar disponível, vários populares Distribuições Linux ainda estão usando versões desatualizadas do FreeType, tornando-os vulneráveis a esta exploração. De acordo com um relatório sobre o Lista de discussão sobre segurança de código aberto (oss-segurança), as seguintes distribuições permanecem afetadas:
- Alma Linux
- Linux Alpino
- Amazon Linux 2
- Debian Estável / Devuano
- RHEL / Fluxo do CentOS / Alma Linux 8 & 9
- GNU GUIX
- Mageia
- Mandriva aberto
- openSUSE Leap
- Slackware
- Ubuntu 22.04
Se você estiver usando qualquer uma dessas distribuições, é altamente recomendado que você atualize o FreeType imediatamente para corrigir essa falha de segurança.
Como se proteger
Para mitigar o risco de exploração, os usuários e administradores do sistema devem seguir os seguintes passos:
- Verifique sua versão do FreeType: Execute o comando:
freetype-config --versionou verifique os detalhes do pacote usandodpkg -l | grep freetype(Baseado em Debian) ourpm -qa | grep freetype(Baseado em RHEL). - Atualize o FreeType imediatamente: Atualizar para versão 2.13.3 ou mais tarde.
- Aplicar patches de segurança: Mantenha sua distribuição Linux atualizada com as últimas correções de segurança.
- Habilitar medidas de segurança do sistema: Usar AppArmor, SELinux, ou outras estruturas de segurança para limitar riscos de execução.
- Monitorar avisos de segurança: Mantenha-se atualizado sobre os relatórios de segurança de Rastreador de Segurança Debian e Segurança Red Hat.
Conclusão
Com o aumento do número de exploits de dia zero vulnerabilidades do sistema de segmentação, é fundamental corrigir falhas de segurança. CVE-2025-27363 é um risco sério que, se explorado, pode levar a execução remota de código e comprometimento total do sistema.
Se o seu sistema executar uma versão afetada do FreeType, atualizar imediatamente para a versão 2.13.3 ou mais tarde para proteger seus dados e infraestrutura.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: