Facebook memperingatkan bahwa kerentanan freetype di semua versi hingga 2,13 dapat menyebabkan eksekusi kode sewenang -wenang, dengan laporan bahwa kelemahan telah dieksploitasi dalam serangan.
Freetype adalah perpustakaan rendering font open-source yang populer yang digunakan untuk menampilkan teks dan secara terprogram menambahkan teks ke gambar. Ini memberikan fungsionalitas untuk memuat, merasterisasi, dan membuat font dalam berbagai format, seperti Truetype (TTF), OpenType (OTF), dan lainnya.
Perpustakaan diinstal dalam jutaan sistem dan layanan, termasuk Linux, Android, mesin game, kerangka kerja GUI, dan platform online.
Kerentanan, dilacak di bawah CVE-2025-27363 dan diberi skor keparahan CVSS V3 8.1 (“tinggi”), ditetapkan dalam Freetype versi 2.13.0 pada 9 Februari 2023.
Facebook mengungkapkan cacat kemarin, memperingatkan bahwa kerentanan dapat dieksploitasi di semua versi Freetype hingga versi 2.13 dan bahwa ada laporan tentang hal itu secara aktif dieksploitasi dalam serangan.
“Penulisan di luar batas ada dalam versi freetype 2.13.0 dan di bawah ketika mencoba untuk menguraikan struktur subglif font yang terkait dengan truetype gx dan file font variabel,” membaca buletin.
“Kode yang rentan memberikan nilai pendek yang ditandatangani untuk yang tidak ditandatangani dan kemudian menambahkan nilai statis yang menyebabkannya membungkus dan mengalokasikan terlalu kecil dari buffer tumpukan.”
“Kode kemudian menulis hingga 6 menandatangani bilangan bulat panjang dari batas relatif terhadap buffer ini. Ini dapat mengakibatkan eksekusi kode sewenang -wenang.”
Facebook dapat mengandalkan Freetype dalam kapasitas tertentu, tetapi tidak jelas apakah serangan yang dilihat oleh tim keamanannya terjadi di platformnya atau jika mereka menemukan mereka di tempat lain.
Mempertimbangkan penggunaan freetype yang meluas di berbagai platform, pengembang perangkat lunak dan administrator proyek harus meningkatkan ke Freetype 2.13.3 (versi terbaru) sesegera mungkin.
Meskipun versi rentan terbaru (2.13.0) tanggal dua tahun, versi perpustakaan yang lebih tua dapat bertahan dalam proyek perangkat lunak untuk waktu yang lamamembuatnya penting untuk mengatasi cacat sesegera mungkin.
BleepingComputer bertanya kepada Meta tentang cacat dan bagaimana itu dieksploitasi, dan dikirim pernyataan berikut.
“Kami melaporkan bug keamanan dalam perangkat lunak open source ketika kami menemukannya karena memperkuat keamanan online untuk semua orang,” kata Facebook kepada BleepingComputer.
“Kami pikir pengguna mengharapkan kami untuk terus bekerja untuk meningkatkan keamanan. Kami tetap waspada dan berkomitmen untuk melindungi komunikasi pribadi orang.”
