Facebook、攻撃で悪用されたFreeType 2の脆弱性を公表(CVE-2025-27363)

Security

公開日: Wed, 12 Mar 2025 17:04:10 -0400

記事のジャンル: Security

Original URL: https://www.bleepingcomputer.com/news/security/facebook-discloses-freetype-2-flaw-exploited-in-attacks/

記事本文（要約）

Facebookは、FreeTypeのバージョン2.13までに存在する脆弱性が任意のコード実行を引き起こす可能性があると警告しており、この欠陥が攻撃で悪用されているとの報告があります。FreeTypeは広く使用されているオープンソースのフォントレンダリングライブラリで、CVE-2025-27363という識別子が付与され、CVSS v3の深刻度スコアは8.1（「高」）と評価されています。

この脆弱性は、2023年2月9日にFreeTypeバージョン2.13.0で修正されましたが、それ以前の全バージョンで悪用可能です。問題の詳細は、TrueType GXおよび可変フォントファイルに関連するフォントサブグリフ構造を解析する際に発生する「範囲外書き込み」で、これにより任意のコード実行が可能となる可能性があります。

FreeTypeは多くのプラットフォームで広範に使用されているため、開発者や管理者には最新のバージョンに早急にアップグレードすることが推奨されます。Facebookは、この脆弱性が発見された際の詳細について、BleepingComputerに対してセキュリティ向上のために継続して努力する旨を回答しました。

※この要約はChatGPTを使用して生成されました。

詳細な技術情報

以下に、提供された情報に基づくセキュリティ分析を示します。

  • CVE番号
    • CVE-2025-27363: この脆弱性は、このCVE番号で追跡されています。CVSS v3のスコアは8.1で、「高」と評価されています。
  • 脆弱性の仕組み
    • アウト・オブ・バウンズ書き込み: 脆弱性は、FreeTypeライブラリのサブグリフ構造の解析時に発生します。具体的には、TrueType GXおよび可変フォントファイルの解析中に、符号付きショート型（signed short）を符号なしロング型（unsigned long）に代入し、その後に静的な値を追加します。これにより、バッファが過剰にラップアラウンドして、不十分なサイズのヒープバッファが確保されてしまいます。その結果、バッファ相対的に最大6つの符号付きロング整数が書き込まれ、アウト・オブ・バウンズ書き込みが発生します。
  • 攻撃手法
    • 攻撃者はこの脆弱性を利用して、任意のコードを実行できます。具体的な攻撃手法は明示されていませんが、フォントファイルまたは関連するデータを悪意を持って操作することで攻撃を引き起こす可能性があります。
  • 潜在的な影響
    • 任意コード実行: 攻撃者は、標的システムで任意のコードを実行する能力を得ることができます。これにより、システムに完全な制御を持つことが可能になります。
    • サービス妨害やデータ漏洩: 任意コード実行が可能であれば、サービスを妨害したり、機密データを漏洩させたりする危険性もあります。
  • 推奨される対策
    1. FreeTypeのアップデート: FreeTypeをバージョン2.13.3以降にアップデートすることが最も推奨される対策です。これにより、脆弱性が修正されます。
    2. プラットフォームとライブラリの管理: 使用しているプラットフォームや依存関係のあるライブラリを最新の状態に保つことが重要です。古いバージョンが残留している可能性があるため、適時の保守が必要です。
    3. セキュリティ監査の実施: 特に使用頻度の高いオープンソースライブラリについて、定期的なセキュリティ監査を実施し、脆弱性の有無を確認します。

### 結論

FreeTypeのこの脆弱性はその広範な使用のため、影響が大きいです。即座のアップデートと、同様のセキュリティホールに備えた定常的な管理が必要です。本件を通じて、オープンソースソフトウェアの継続的な監査と報告の重要性も再認識されています。