Facebook ha advertido sobre una vulnerabilidad en FreeType, una popular biblioteca de renderizado de fuentes, que podría permitir ejecución arbitraria de código. Se han reportado ataques que ya han explotado esta falla.
¿Qué es FreeType? ️
FreeType es una biblioteca de código abierto utilizada para mostrar texto y agregarlo a imágenes de manera programática.
Soporta varios formatos de fuente como:
✅ TrueType (TTF)
✅ OpenType (OTF)
✅ Otros formatos populares
Se encuentra en millones de dispositivos y servicios, incluyendo:
- Linux
- Android
- Motores de juegos
- Marcos de interfaz gráfica (GUI) ️
- Plataformas en línea
Detalles de la vulnerabilidad ⚠️
Identificador: CVE-2025-27363
Puntaje de severidad CVSS v3: 8.1 (Alto)
Versiones afectadas: FreeType hasta la versión 2.13.0
Parche disponible: FreeType 2.13.3 (desde el 9 de febrero de 2023)
Facebook reveló la vulnerabilidad advirtiendo que ya ha sido explotada en ataques activos.
¿Cómo funciona el exploitde FreeType?
Según el boletín de seguridad:
Un error de escritura fuera de límites ocurre al analizar estructuras de subglifos de fuentes TrueType GX y fuentes variables.
Causa del problema:
- Un valor firmado de 16 bits se asigna erróneamente a un valor sin signo de 32 bits.
- Luego, se agrega un valor estático, lo que causa una asignación incorrecta de memoria.
Consecuencia:
- Se escribe hasta 6 valores fuera de los límites del buffer de memoria, lo que puede resultar en ejecución arbitraria de código en el sistema afectado.
¿Facebook fue afectado por FreeType?**
Facebook no ha confirmado si estos ataques ocurrieron en su plataforma o si su equipo de seguridad los descubrió en otro lugar.
¿Cómo protegerse de FreeType? ️
✅ Actualizar FreeType a la versión 2.13.3 inmediatamente.
✅ Software y plataformas que usen FreeType deben revisar si están en riesgo.
✅ Evitar ejecutar archivos de fuentes desconocidos o sospechosos.
⚠️ Aunque la versión vulnerable 2.13.0 tiene dos años, muchas plataformas podrían seguir usándola sin haberla actualizado, lo que aumenta el riesgo de explotación.
Declaración de Meta (Facebook):
«Reportamos fallos de seguridad en software de código abierto cuando los encontramos porque fortalece la seguridad en línea para todos.»
«Seguimos trabajando para mejorar la seguridad y proteger las comunicaciones privadas de las personas.»
Artículos Relacionados
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.