FreeType – istotna biblioteka i jej zagrożenia
FreeType to szeroko stosowana biblioteka open source, której głównym zadaniem jest renderowanie czcionek. Jest wykorzystywana na milionach urządzeń i w różnych systemach, w tym w systemach operacyjnych Linux i Android, silnikach gier, frameworkach GUI oraz platformach internetowych. Z tego względu każda luka w jej zabezpieczeniach stwarza poważne zagrożenie dla użytkowników.
Krytyczna luka i jej konsekwencje
Wykryta luka, oznaczona jako CVE-2025-27363, dotyczy wszystkich wersji FreeType do 2.13.0. Według oceny CVSS v3 otrzymała ona wysoki poziom zagrożenia – 8,1 w dziesięciostopniowej skali. Istnieją już potwierdzone przypadki jej wykorzystania w atakach, co czyni sytuację jeszcze bardziej alarmującą. Podatność związana jest z błędem w kodzie odpowiedzialnym za analizowanie struktur subglifów w czcionkach TrueType GX. Problem wynika z niewłaściwego przydzielania pamięci, co może skutkować zapisem danych poza przydzielonym obszarem. To z kolei daje cyberprzestępcom możliwość uruchomienia złośliwego kodu na atakowanym urządzeniu.
Jak uniknąć zagrożenia?
Facebook, który wykrył i ujawnił problem, nie podał szczegółowych informacji o tym, gdzie dokładnie miały miejsce zaobserwowane ataki. Możliwe, że dotyczyły jego własnej platformy lub innych systemów, w których FreeType jest wykorzystywany. Pewne jest jednak, że luka jest aktywnie wykorzystywana, co powinno skłonić administratorów IT i twórców oprogramowania do pilnego działania. Jedynym skutecznym rozwiązaniem tego problemu jest aktualizacja FreeType do najnowszej wersji 2.13.3, w której luka została załatana. Warto podkreślić, że choć problem dotyczy wersji 2.13.0 wydanej w 2023 roku, wiele starszych wersji tej biblioteki nadal może być używanych w istniejących projektach. Oznacza to, że zagrożenie wciąż istnieje dla systemów, które nie przeprowadziły regularnych aktualizacji.
Eksperci ds. cyberbezpieczeństwa zalecają natychmiastowe sprawdzenie, czy wykorzystywana wersja FreeType jest aktualna. W przypadku starszych wersji aktualizacja powinna zostać przeprowadzona bez zbędnej zwłoki, aby zminimalizować ryzyko ataku. Działania te są szczególnie istotne dla organizacji, które wykorzystują FreeType w swoich produktach i usługach.
