CVE-2025-27363

Exploitation de FreeType : CVE-2025-27363

Une faille critique, référencée CVE-2025-27363, a été identifiée dans la bibliothèque FreeType, affectant les versions 2.13.0 et antérieures. Le problème survient lors du traitement de sous-glifes dans les fichiers de polices TrueType GX et variables.

Points Clés :

• La vulnérabilité est déclenchée par une assignation incorrecte d’une valeur signée (short) à une variable non signée (long).
• Cette incohérence, combinée à l’ajout d’une valeur statique, provoque un dépassement lors de l’allocation de mémoire sur le tas (heap).

Vulnérabilité :

• CVE-2025-27363
• Type : Dépassement de tampon sur le tas (Heap Buffer Overflow)
• Impact : Permet des écritures hors limites allant jusqu’à 6 entiers signés longs, pouvant potentiellement mener à une exécution de code arbitraire.
• Exploitation : Il est signalé que cette faille aurait déjà été exploitée dans la nature.

Recommandations :

• Pour atténuer ce risque, il est conseillé de mettre à jour FreeType vers une version corrigée. La version 2.13.1 et ultérieures devraient contenir les correctifs nécessaires.

Source