ALAS-2025-1976安全公告

漏洞概述

FreeType 2.13.0及以下版本在解析TrueType GX和可变字体文件的字体子字形结构时存在越界写入漏洞。易受攻击的代码将一个有符号短整型值分配给无符号长整型，然后添加静态值导致回绕，从而分配过小的堆缓冲区。代码随后相对于该缓冲区越界写入最多6个有符号长整型值。这可能导致任意代码执行。该漏洞可能已在野外被利用。（CVE-2025-27363）

受影响包

• freetype

问题修复

运行yum update freetype或yum update --advisory ALAS-2025-1976来更新系统。

新软件包

i686架构：

• freetype-debuginfo-2.3.11-19.17.amzn1.i686
• freetype-devel-2.3.11-19.17.amzn1.i686
• freetype-demos-2.3.11-19.17.amzn1.i686
• freetype-2.3.11-19.17.amzn1.i686

源代码：

• freetype-2.3.11-19.17.amzn1.src

x86_64架构：

• freetype-demos-2.3.11-19.17.amzn1.x86_64
• freetype-debuginfo-2.3.11-19.17.amzn1.x86_64
• freetype-devel-2.3.11-19.17.amzn1.x86_64
• freetype-2.3.11-19.17.amzn1.x86_64

严重程度

重要

参考链接

• Red Hat: CVE-2025-27363
• Mitre: CVE-2025-27363