- Aktif istismar
- CWE-787
CVE-2025-27363
FreeType'ta Sınır Dışı Yazma Açığı, Uzaktan Kod Çalıştırmaya Yol Açabilir
- Yayımlandı
- Güncellendi
- 20 Nis 2026
- Açık yaşı
- 596 gün
- Kaydı açan
ÖzetTürkçe
FreeType'ın 2.13.0 ve daha eski sürümlerinde, TrueType GX ve değişken yazı tipi dosyalarıyla ilgili alt glif yapılarını ayrıştırma sırasında sınır dışı yazma sorunu bulunmaktadır (FreeType'ın daha yeni sürümleri etkilenmez). Savunmasız kod, işaretli bir short değerini işaretsiz bir long değerine atayıp ardından sabit bir değer ekleyerek taşmaya neden olmakta ve bu nedenle çok küçük bir heap tamponu ayrılmaktadır. Kod daha sonra bu tampon ile ilgili olarak sınır dışına en fazla 6 işaretli long tamsayı yazmaktadır. Bu durum, keyfi kod çalıştırmaya yol açabilir. Bu açığın gerçek dünyada istismar edilmiş olabileceği belirtilmektedir.
Kaynaktaki açıklama (İngilizce)
An out of bounds write exists in FreeType versions 2.13.0 and below (newer versions of FreeType are not vulnerable) when attempting to parse font subglyph structures related to TrueType GX and variable font files. The vulnerable code assigns a signed short value to an unsigned long and then adds a static value causing it to wrap around and allocate too small of a heap buffer. The code then writes up to 6 signed long integers out of bounds relative to this buffer. This may result in arbitrary code execution. This vulnerability may have been exploited in the wild.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| FreeType | ≥ 0.0.0, ≤ 2.13.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.