Google telah merilis pembaruan keamanan Mei 2025 untuk Android dengan perbaikan untuk 45 kelemahan keamanan, termasuk kerentanan eksekusi kode FREETYPE 2 yang dieksploitasi secara aktif.
Freetype adalah perpustakaan rendering font open-source yang populer yang menampilkan dan secara terprogram menambahkan teks ke gambar.
Cacat, dilacak sebagai CVE-2025-27363, adalah bug eksekusi kode sewenang-wenang tinggi Ditemukan oleh Facebook Peneliti Keamanan pada bulan Maret 2025.
Ini berdampak pada semua versi Freetype hingga 2.13, yang dirilis pada 9 Februari 2023, dan mengatasi kerentanan.
“Ada indikasi bahwa CVE-2025-27363 mungkin berada di bawah eksploitasi yang terbatas dan ditargetkan,” membaca buletin.
Baik Facebook maupun Google tidak mengungkapkan detail tentang bagaimana kelemahan itu digunakan dalam serangan. Namun, Pengungkapan Facebook Pada bulan Maret menjelaskan bahwa itu dapat dieksploitasi ketika Freetype mem -parsing file truetype gx atau variabel font yang berbahaya, yang mengarah ke eksekusi kode.
“Penulisan di luar batas ada dalam versi freetype 2.13.0 dan di bawah (versi freetype yang lebih baru tidak rentan) ketika mencoba mengurai struktur subglif font yang terkait dengan truetype gx dan file font variabel,” membaca pengungkapan Facebook.
“Kode yang rentan memberikan nilai pendek yang ditandatangani untuk yang tidak ditandatangani dan kemudian menambahkan nilai statis yang menyebabkannya membungkus dan mengalokasikan terlalu kecil dari buffer tumpukan. Kode kemudian menulis hingga 6 bilangan bulat yang ditandatangani jauh dari batas relatif terhadap buffer ini. Ini dapat mengakibatkan eksekusi kode yang sewenang -wenang.”
Sisa cacat yang ditetapkan oleh Google bulan ini menyangkut masalah dalam kerangka kerja, sistem, Google Play, dan kernel Android, serta kesenjangan keamanan dalam komponen berpemilik dari MediaTek, Qualcomm, ARM, dan teknologi imajinasi.
Semua kelemahan dalam komponen inti Android dinilai tingkat keparahan yang tinggi, dengan sebagian besar merupakan peningkatan masalah hak istimewa.
Perbaikan yang dirilis menyangkut versi Android 13, 14, dan 15, meskipun tidak semua kerentanan berdampak pada ketiganya.
Android 12 mencapai akhir dari dukungan pada 31 Maret 2025, jadi tidak lagi menerima perbaikan keamanan. Namun, itu (dan versi yang lebih lama) dapat dipengaruhi oleh beberapa kerentanan yang tercantum dalam buletin terbaru.
Google secara teratur menggabungkan perbaikan kritis untuk perangkat tersebut melalui saluran pembaruan sistem Google Play, meskipun perbaikan spesifik untuk cacat yang dieksploitasi secara aktif tidak dijamin untuk perangkat yang lebih lama.
Pengguna Android pada versi yang lebih tua dari 13 disarankan untuk mempertimbangkan distribusi Android pihak ketiga yang menggabungkan perbaikan keamanan untuk perangkat yang tidak didukung atau pindah ke model yang lebih baru yang didukung oleh OEM-nya.
Untuk menerapkan pembaruan Android terbaru, kunjungi Pengaturan> Keamanan & Privasi> Sistem & Pembaruan> Pembaruan Keamanan> Klik ‘Periksa untuk Pembaruan.’ (Proses dapat bervariasi per OEM/model).
