Meta แจ้งเตือนช่องโหว่ใน FreeType (CVE-2025-27363) ที่กำลังถูกใช้ในการโจมตี

Meta ออกคำเตือนเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่ส่งผลกระทบต่อ FreeType ซึ่งเป็นไลบรารีโอเพ่นซอร์สสำหรับการเรนเดอร์ฟอนต์ ที่กำลังถูกนำไปใช้ในการโจมตีจริง

ช่องโหว่นี้มีหมายเลข CVE-2025-27363 และมีคะแนน CVSS อยู่ที่ 8.1 ความรุนแรงระดับ High โดยช่องโหว่นี้เป็นช่องโหว่ประเภท out-of-bounds write ซึ่งสามารถถูกนำไปใช้เพื่อดำเนินการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ได้ เมื่อมีการประมวลผลไฟล์ฟอนต์บางประเภท

Meta ระบุว่า "ช่องโหว่ out-of-bounds write อยู่ใน FreeType เวอร์ชัน 2.13.0 หรือเวอร์ชันที่ต่ำกว่านี้ โดยจะเกิดขึ้นเมื่อมีการพยายามประมวลผลโครงสร้าง subglyph ของฟอนต์ที่เกี่ยวข้องกับ TrueType GX และฟอนต์แบบปรับเปลี่ยนค่าได้ (variable fonts)"

"โค้ดที่มีช่องโหว่นี้จะกำหนดค่า signed short value ให้กับ unsigned long และจากนั้นจะเพิ่มค่าคงที่ ซึ่งทำให้เกิดการ wrap around และส่งผลให้มีการจัดสรรหน่วยความจำ heap buffer ที่มีขนาดเล็กเกินไป จากนั้นโค้ดจะเขียนค่า signed long integers ได้สูงสุด 6 ค่า ซึ่งจะเกินขอบเขตของบัฟเฟอร์ ทำให้อาจนำไปสู่การเรียกใช้โค้ดตามที่ต้องการได้"

ทาง Meta ไม่ได้เปิดเผยรายละเอียดเกี่ยวกับวิธีการ หรือใครที่อยู่เบื้องหลังในการโจมตีโดยใช้ช่องโหว่นี้ อย่างไรก็ตาม บริษัทยอมรับว่าช่องโหว่นี้อาจถูกนำไปใช้ในการโจมตีจริงแล้ว

Werner Lemberg ได้ให้ข้อมูลกับ The Hacker News โดยระบุว่า "ช่องโหว่นี้ได้รับการแก้ไขมานานเกือบสองปีแล้ว FreeType ที่มีเวอร์ชั่นที่สูงกว่า 2.13.0 จะไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว"

เช่นเดียวกับข้อมูลจาก Open Source Security mailing list oss-security มีการเปิดเผยว่า Distributions บนระบบปฏิบัติการของ Linux ที่กำลังใช้ไลบรารีเวอร์ชันเก่าของ FreeType มีความเสี่ยงต่อช่องโหว่นี้ ซึ่งประกอบไปด้วย :

• AlmaLinux
• Alpine Linux
• Amazon Linux 2
• Debian stable / Devuan
• RHEL / CentOS Stream / Alma Linux / etc. 8 and 9
• GNU Guix
• Mageia
• OpenMandriva
• openSUSE Leap
• Slackware, and
• Ubuntu 22.04

เนื่องจากคาดว่ามีการโจมตีเกิดขึ้นจริงแล้วในปัจจุบัน จึงขอแนะนำให้ผู้ใช้งานทำการอัปเดต FreeType ให้เป็นเวอร์ชันล่าสุด (2.13.3) เพื่อป้องกันความเสี่ยงจากช่องโหว่ดังกล่าว

ที่มา : thehackernews