近期，安全領(lǐng)域傳來一則重要消息，一款備受信賴的開源字體渲染庫FreeType被曝存在高危安全漏洞。這一發(fā)現(xiàn)由Facebook旗下的安全研究團(tuán)隊揭露，漏洞編號為CVE-2025-27363，其風(fēng)險等級高達(dá)8.1/10，引起了業(yè)界的廣泛關(guān)注。
FreeType，作為開源界的明星產(chǎn)品，承擔(dān)著將字符轉(zhuǎn)換為位圖以供顯示的重任。它廣泛應(yīng)用于眾多操作系統(tǒng)和軟件中，包括Android、macOS等主流操作系統(tǒng)，以及眾多游戲引擎，是字體渲染不可或缺的一環(huán)。
據(jù)悉，該漏洞主要存在于FreeType處理TrueType GX和可變字體文件的過程中。具體而言，是由于在處理字體子字形結(jié)構(gòu)時，代碼邏輯出現(xiàn)了不當(dāng)操作，導(dǎo)致一個有符號短整型數(shù)值被錯誤地賦值給無符號長整型變量。這一錯誤在后續(xù)的計算中引發(fā)了數(shù)值回繞現(xiàn)象，使得分配的堆緩沖區(qū)尺寸過小，進(jìn)而可能引發(fā)多達(dá)6個有符號長整型數(shù)值的越界寫入。
這一漏洞的嚴(yán)重性不容忽視。攻擊者一旦成功利用該漏洞，就有可能實現(xiàn)任意代碼執(zhí)行，對受影響的系統(tǒng)構(gòu)成嚴(yán)重威脅。考慮到FreeType的廣泛應(yīng)用，這一漏洞的潛在影響范圍極廣。
值得慶幸的是，該漏洞已在FreeType的2.13.0版本中得到了修復(fù)。然而，由于許多用戶仍然在使用舊版本的操作系統(tǒng)或軟件，因此該漏洞的威脅依然存在。也不能排除已有黑客嘗試?yán)么寺┒催M(jìn)行攻擊的可能性。
針對這一情況，F(xiàn)acebook的安全研究團(tuán)隊強烈建議所有受影響的用戶盡快將系統(tǒng)或單獨安裝的FreeType升級至最新版本。這是消除潛在安全隱患、保障系統(tǒng)安全的最為直接和有效的方法。同時，也提醒廣大用戶保持警惕，密切關(guān)注相關(guān)安全動態(tài)，以確保自身信息安全不受侵害。
