OSSのフォントエンジン FreeTypeで深刻な脆弱性(CVE-2025-27363)

OSSのフォントエンジン FreeTypeで深刻な脆弱性(CVE-2025-27363)が発生しています。パッチはリリース済みなのでアップデートして対応する事をお勧めします。

脆弱性の対象バージョン

バージョン　2.13.0以下の全てのバージョン

脆弱性の対策バージョン

バージョン　2.13.1 以降のバージョン

脆弱性 CVE-2025-27363の概要

FreeTypeの脆弱なコード内で、符号付きのshort型の値を符号なしのlong型の変数に代入し、その後に静的な値を加算する処理が行われています。この結果、整数のオーバーフローが発生し、誤って非常に小さいサイズのヒープバッファが確保されるという問題が発生します。

さらに、この脆弱なバッファに対して、最大で6つの符号付きlong型整数が範囲外に書き込まれるため、ヒープバッファオーバーフローが引き起こされ、最悪の場合、任意のコード実行（RCE）が可能になります。これは、攻撃者が悪意のあるフォントファイルをユーザーに読み込ませることで、システムに対する不正な操作やコード実行が可能になることを意味します。

特に危険なのは、この脆弱性がすでに実際の攻撃で悪用されている可能性がある点です。悪意ある攻撃者は、細工されたフォントファイルを通じて、システムへの侵入や機密情報の窃取、マルウェアの実行といった攻撃を行うことができます。

なお、この脆弱性はCVSS スコア 8.1と重大度の高い脆弱性となります。

また、Linux、BSD、Android、iOSなど、多くのUnix系およびモバイルOSでFreeTypeが利用されています。​これらのOS上で動作するアプリケーションがFreeTypeを使用している場合、脆弱性の影響を受ける可能性がありますので注意が必要です。