Escritura fuera de los límites en FreeType
Mié, 12/03/2025 – 12:14
Recursos Afectados
FreeType, versiones 2.13.0 y anteriores.
Descripción
Se ha reportado una vulnerabilidad de severidad alta en FreeType, cuya explotación podría permitir a un atacante ejecutar código arbitrario.
Esta vulnerabilidad podría estar siendo explotada.
Identificador
INCIBE-2025-0136
4 – Alta
Solución
Se recomiendan los parches para las versiones el 2.13.0 e inferiores de FreeType. Los usuarios deben actualizar a la última versión que solucione esta vulnerabilidad.
Detalle
Existe una escritura fuera de los límites en las versiones 2.13.0 e inferiores de la librería FreeType, al intentar analizar estructuras de subglifos de fuentes relacionadas con archivos de fuentes TrueType GX y variables. El código vulnerable asigna un valor corto con signo a un valor largo sin signo y, a continuación, añade un valor estático que lo envuelve y asigna un búfer de montón demasiado pequeño. A continuación, el código escribe hasta 6 enteros largos con signo fuera de los límites relativos a este búfer.
Los atacantes podrían ejecutar código arbitrario aprovechando la asignación incorrecta del búfer. La vulnerabilidad permite la ejecución remota de código sin requerir la interacción del usuario, comprometiendo potencialmente todo el sistema. La alta gravedad se debe a la capacidad de escribir fuera de los búferes de memoria asignados, lo que puede llevar a comprometer el sistema.
Se ha asignado el identificador CVE-2025-27363 para esta vulnerabilidad.
Listado de referencias
CVE-2025-27363 Out-of-bounds Write (CWE-787)
CVE-2025-27363: Font Library FreeType Flaw Exploited in the Wild, Millions at Risk
Etiquetas
Fuente: link
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.
TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.
Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.