Błąd w bibliotece FreeType 2.13.0 i starszych pozwala spreparowanej czcionce zapisać dane poza pamięcią i wykonać kod. CISA potwierdza ataki. Zaktualizuj Androida, Linuksa i programy graficzne.
Ten alert jest dla zarządu, CTO i CFO firm, które używają komputerów z Linuksem, telefonów z Androidem lub programów graficznych i przyjmują pliki (w tym czcionki) od klientów. Werdykt: biblioteki FreeType nie aktualizuje się osobno, więc dziś zleć aktualizację systemów, telefonów i programów, które ją zawierają, bo spreparowany plik czcionki może uruchomić obcy kod, a luka jest wykorzystywana w atakach.
Amerykańska agencja CISA 6 maja 2025 roku dopisała CVE-2025-27363 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy FreeType, otwartoźródłowej biblioteki zamieniającej pliki czcionek na litery na ekranie i wydruku. Przy odczycie czcionek TrueType GX i czcionek zmiennych program źle liczy potrzebną pamięć i zapisuje dane poza przydzielonym obszarem, co może prowadzić do wykonania dowolnego kodu.
Lukę zgłosiła Meta (Facebook) 11 marca 2025 roku, zaznaczając, że mogła być już wykorzystywana. Google w biuletynie Androida z maja 2025 roku napisał o oznakach ograniczonego, ukierunkowanego wykorzystania. CISA podkreśla, że to wspólny komponent wielu produktów, więc stan poprawki trzeba sprawdzać u każdego producenta osobno. Termin naprawy wg CISA minął 27 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-27363 |
Data dodania do CISA KEV | 2025-05-06 |
Termin naprawy wg CISA | 2025-05-27 (21 dni od wpisu) |
Produkt | Biblioteka FreeType, wbudowana w systemy Linux, Android i wiele programów |
Wersje zagrożone | FreeType 2.13.0 i starsze. Przykłady produktów: Android 13 i 14 przed poziomem poprawek 2025-05-01; Ubuntu Focal i Jammy, Debian Bullseye i Bookworm, RHEL 7 i 8 bez poprawek z marca 2025 roku. Warunek: przetworzenie spreparowanego pliku czcionki |
Wersje bezpieczne | FreeType 2.13.1 i nowsze (najnowsze wydania utrzymaniowe: 2.14.1, 2.14.2 i 2.14.3 z 22 marca 2026 roku; producent odradza 2.14.0). Pakiety: Ubuntu 2.10.1-2ubuntu0.4 (Focal), 2.11.1+dfsg-1ubuntu0.3 (Jammy); Debian 2.10.4+dfsg-1+deb11u2 (Bullseye), 2.12.1+dfsg-5+deb12u4 (Bookworm); RHEL 8 freetype-2.9.1-10.el8_10, RHEL 7 freetype-2.8-15.el7_9.1; Android: poziom poprawek 2025-05-01 lub nowszy |
Typ podatności | Zapis poza granicami bufora prowadzący do wykonania kodu; CWE-787 (Out-of-bounds Write) |
Ocena CVSS | NVD i Meta: 8.1 (CVSS 3.1, WYSOKA). Atak przez sieć, wysoka złożoność, bez konta i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. Red Hat: waga Important; Canonical: priorytet medium; Google (Android): RCE, waga High |
Różne etykiety wagi nie oznaczają pomyłki: CVSS opisuje sam błąd, a priorytety dystrybucji uwzględniają kontekst ich użytkowników i pozostałe poprawki. Ubuntu Noble i Oracular, RHEL 10 oraz buildy OpenJDK 11, 17 i 21 są wg producentów niepodatne.
Wyobraź sobie magazyniera, który zamawia regał na podstawie liczby paczek podanej przez klienta. Klient wpisuje liczbę tak dobraną, że system zamówień się gubi i zamawia regał na dwie paczki zamiast na dwa tysiące. Paczki i tak przyjeżdżają, więc magazynier ustawia je na cudzych półkach, na przejściu i pod drzwiami.
W pliku czcionki zapisana jest liczba, którą FreeType przepisuje do pola o innym zakresie i powiększa. Przy odpowiedniej wartości wynik „zawija się” i wychodzi bardzo mały. Program rezerwuje za mało pamięci, a potem zapisuje więcej danych, niż zarezerwował, nadpisując dane innych części programu. Dla firmy najważniejsze jest to, że plik czcionki nikomu nie kojarzy się z zagrożeniem, bo „to tylko litery”.
💡 Biblioteka to fragment kodu, z którego korzystają inne programy; użytkownik zwykle nie wie, że ją ma. Czcionka zmienna to plik zawierający wiele odmian kroju, np. od cienkiej do grubej. Zapis poza granicami to błąd, w którym program zapisuje dane w pamięci należącej do czegoś innego. Poziom poprawek zabezpieczeń w Androidzie to data widoczna w ustawieniach, mówiąca, do kiedy telefon ma łatki.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient przysyła projekt z plikiem czcionki | Grafik instaluje krój i pracuje | Spreparowany plik może uruchomić kod na stacji graficznej |
Telefon wyświetla treść z nietypową czcionką | Litery wyświetlają się poprawnie | Na telefonie bez poprawki z maja 2025 roku możliwe wykonanie kodu |
Serwer generuje PDF-y lub miniatury z plików klientów | Automatycznie przetwarza czcionki | Przetwarza też złośliwą czcionkę bez udziału człowieka |
Aktualizacja „programu do czcionek” | Nie istnieje, biblioteka nie ma własnej ikony | Poprawka przychodzi tylko z aktualizacją systemu lub programu |
Raport skanera | Pokazuje wersję pakietu | Trzeba porównać z numerem poprawki danej dystrybucji |
źródło: Pexels, Wutthichai CharoenburiPoniżej typowy przebieg ataku dla podatności w bibliotece przetwarzającej pliki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu, bo szczegóły wykorzystania nie zostały opublikowane. Napastnik musi doprowadzić do przetworzenia spreparowanej czcionki: przez dokument, stronę, aplikację albo plik od „klienta”. Wysoka złożoność oznacza, że atak nie zawsze udaje się za pierwszym razem. CISA ocenia go jako nieautomatyzowalny, o całkowitym skutku technicznym, a Google pisze o atakach ukierunkowanych.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Spreparowanie pliku czcionki TrueType GX lub czcionki zmiennej | Plik wyglądający na zwykły krój |
2. Dostarczenie | T+minuty do dni | Umieszczenie czcionki w dokumencie, na stronie, w aplikacji lub w paczce projektowej | Plik trafia do urządzenia ofiary |
3. Przetworzenie | T+moment otwarcia | Program lub system wczytuje czcionkę przez FreeType | Zapis poza buforem |
4. Wykonanie kodu | T+sekundy | Przejęcie przebiegu programu | Kod napastnika na urządzeniu |
5. Wykorzystanie | T+godziny do tygodni | Kradzież danych, haseł, dostęp do poczty i serwerów | Wyciek danych, dalsze włamania |
Mogę Ci jakoś pomóc?
FreeType siedzi w systemach, telefonach i programach, o których nikt nie myśli jak o „oprogramowaniu do czcionek”. Nie ma jednego przycisku „zaktualizuj FreeType”, więc łatwo przeoczyć urządzenia, które poprawki nie dostały. Pliki czcionek od klientów rzadko są traktowane jak podejrzane załączniki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stacje robocze lub serwery przetwarzające pliki, konieczność ich odbudowy | Dni | 20 tys. do 200 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek projektów klientów, haseł i poczty | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, ewentualne oszustwa z przejętej poczty | Tygodnie | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Wyciek materiałów klientów przed premierą, utrata zaufania | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia klientów z umów o poufności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń i systemów z FreeType 2.13.0 lub starszym
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu), a prawdopodobieństwo średnie, bo atak ma wysoką złożoność, jest ukierunkowany i wymaga przetworzenia spreparowanej czcionki; w firmach przyjmujących pliki od klientów ryzyko jest wyższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić poziom poprawek zabezpieczeń na służbowych telefonach z Androidem (co najmniej 2025-05-01) | Dziś | Dział IT / użytkownicy |
2 | 🔴 NATYCHMIAST | Zaktualizować serwery i stacje z Linuksem (pakiet freetype) do wersji z poprawką dystrybucji | Dziś | Administrator systemów |
3 | 🟠 PILNIE | Zaktualizować programy graficzne i narzędzia do generowania PDF lub podglądów, które przetwarzają czcionki | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Zapytać dostawców urządzeń i aplikacji o wersję FreeType w ich produktach | Do 7 dni | CTO |
5 | 🟠 PILNIE | Wymienić lub odizolować telefony bez aktualizacji z 2025 roku | Do 14 dni | CTO / CFO |
6 | 🟡 WAŻNIE | Ustalić zasady przyjmowania plików czcionek od klientów: zaufane kanały, aktualne stanowisko | Do 30 dni | Kierownik studia / CTO |
7 | 🟡 WAŻNIE | Wpisać aktualizacje stacji graficznych do stałego kalendarza | Do 30 dni | CTO |
Poprawki wydali projekt FreeType, dystrybucje Linuksa i Google dla Androida. Dla urządzeń i programów, których producent nie zaktualizował, pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wczytywanie plików czcionek tylko z zaufanych źródeł i ich sprawdzanie przed przetworzeniem (zalecenie Red Hat) | Średnia do wysokiej | Średnia |
Przetwarzanie plików od klientów na osobnej, odizolowanej maszynie | Wysoka dla ochrony reszty firmy | Średnia |
Wycofanie telefonów bez aktualizacji z dostępu do poczty i systemów firmy | Wysoka | Średnia, wymaga budżetu |
Monitorowanie awarii programów graficznych przy otwieraniu plików | Niska jako ochrona, przydatna do wykrycia prób | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja FreeType w systemach | 2.13.0 lub starsza w pakietach bez poprawek | Pakiety z poprawką dystrybucji, FreeType 2.13.1 lub nowszy |
Telefony z Androidem | Poziom poprawek sprzed maja 2025 roku | 2025-05-01 lub nowszy, stare urządzenia wycofane |
Pliki czcionek od klientów | Instalowane bez zastanowienia | Przyjmowane z zaufanych kanałów, na aktualnym stanowisku |
Wiedza o produktach z FreeType | Brak | Odpowiedzi dostawców w dokumentacji |
Aktualizacje stacji graficznych | Gdy program się upomni | Stały cykl w kalendarzu |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Meta przy zgłoszeniu pisała, że luka mogła być wykorzystywana; Google (maj 2025 roku): oznaki ograniczonego, ukierunkowanego wykorzystania |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 WYSOKA wg NVD i Meta (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie; mechanizm opisano w rekordzie CVE i na liście oss-security |
Liczba atakowanych firm | Brak publicznych informacji |
Ocena CISA | Wykorzystanie aktywne, atak nieautomatyzowalny, skutek techniczny całkowity |
Prognoza EPSS | Około 28% szansy prób wykorzystania, percentyl 0,979 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-27363
CVSS 3.1 (NVD/Meta) 8.1/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~28% ██████░░░░░░░░░░░░░░ PODWYŻSZONA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ataki ukierunkowane TAK ██████████░░░░░░░░░░ wg Google
Wspólny komponent TAK ████████████████████ poprawka u wielu producentów
Mogę Ci jakoś pomóc?
2025-02-21 Rezerwacja numeru CVE
2025-03-11 Meta publikuje informację o luce (CVE-2025-27363)
2025-03-13 Dyskusja na liście oss-security o zakresie poprawki
2025-03 Debian wydaje poprawkę dla Bullseye (DLA-4104-1)
2025-03-31 Red Hat wydaje RHSA-2025:3421 (RHEL 8) i RHSA-2025:3395 (RHEL 7)
2025-05-01 Biuletyn Androida: poprawka i oznaki ukierunkowanych ataków
2025-05-06 CISA dodaje lukę do katalogu KEV
2025-05-27 Termin naprawy wg CISA dla agencji federalnych
2025-09-11 FreeType 2.14.1 (kolejne: 2.14.2 i 2.14.3 w marcu 2026)
... prawie 16 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn bezpieczeństwa Androida z poprawką: source.android.com/docs/security/bulletin/2025-05-01 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-27363 . CISA zaznacza, że stan poprawki trzeba sprawdzić u producenta każdego produktu korzystającego z FreeType.
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić sprawdzenie poziomu poprawek na wszystkich służbowych telefonach z Androidem | CTO | DZISIAJ |
2 | Zlecić aktualizację serwerów i stacji z Linuksem | CTO | DZISIAJ |
3 | Uzyskać listę programów przetwarzających pliki od klientów i ich wersje | CTO | DO JUTRA |
4 | Zatwierdzić zasady przyjmowania plików czcionek od klientów | CTO | DO JUTRA |
5 | Oszacować koszt wymiany telefonów, które nie dostają już aktualizacji | CFO | DO JUTRA |
6 | Sprawdzić umowy o poufności z klientami pod kątem obowiązków przy wycieku materiałów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile służbowych telefonów z Androidem ma poziom poprawek starszy niż 2025-05-01? | [liczba] | 🔴 |
2 | Jaka wersja pakietu freetype jest zainstalowana na naszych serwerach Linux? | [wersja] | 🔴 |
3 | Kiedy zaktualizowano stacje graficzne i programy do PDF? | [data] | 🔴 |
4 | Czy mamy systemy, które automatycznie przetwarzają pliki od klientów? | TAK / NIE | 🟠 |
5 | Czy dostawcy potwierdzili wersję FreeType w swoich produktach? | TAK / NIE | 🟠 |
6 | Czy pliki od klientów otwieramy na odizolowanym stanowisku? | TAK / NIE | 🟠 |
7 | Czy mamy telefony, które nie dostają już aktualizacji od producenta? | TAK / NIE | 🟡 |
CVE-2025-27363 pozwala spreparowanemu plikowi czcionki uruchomić obcy kod w programach i systemach korzystających z FreeType 2.13.0 lub starszego. CISA potwierdza wykorzystanie, a Google pisze o atakach ukierunkowanych, więc aktualizacja telefonów z Androidem, serwerów z Linuksem i programów przetwarzających pliki klientów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.