最近の脆弱性 › CVE-2025-27363

FreeType FreeType の範囲外書き込みの脆弱性（CVE-2025-27363）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-27363
製品	FreeType FreeType
深刻度（CVSS）	8.1 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-05-06
米国政府機関の対応期限	2025-05-27
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-787

何が起きた

文字の形（フォント）を画面に表示するための部品 FreeType に、TrueType GX や可変フォントのファイルを読み込むときに、用意したメモリの外側へ書き込んでしまう弱点が見つかりました。この結果、攻撃者が好きなプログラムを動かせる可能性があります。実際に悪用されたことが確認されており、CISA の KEV に掲載されています。NVD の評価では、ネットワーク経由で、ログインなしに、ほかの人の操作も必要とせずに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

FreeType 2.13.0 以下のバージョンが影響を受けます。2.13.0 より新しいバージョンには影響しないと説明されています。ただし、Ubuntu などの Linux では、古い番号の FreeType に修正を取り込んだ更新が配られているため、番号だけでは判断できないことがあります。FreeType を組み込んで使っているソフトや機器も、その中の FreeType のバージョンによっては影響を受けます。

何をすればいい

FreeType を直接使っている場合は、2.13.0 より新しいバージョンに更新されているか確認してください。Linux などの OS に入っている FreeType は、OS の更新を入れてください。FreeType を組み込んだソフトや機器については、それぞれのメーカーの公式の案内を確認し、更新を入れてください。

やることチェックリスト

FreeType を2.13.0 より新しい版に更新する
Linux では OS の更新で FreeType を直す
FreeType を組み込んだソフトの更新を入れる

用語メモ

FreeType: フォントのファイルを読み込み、文字の形を画面に描くための、広く使われている部品（ライブラリ）です。
可変フォント: 1つのファイルで、文字の太さや幅などをなめらかに変えられるフォントの形式です。

元データ（英語・CISA KEV より）

FreeType Out-of-Bounds Write Vulnerability

概要

FreeType contains an out-of-bounds write vulnerability when attempting to parse font subglyph structures related to TrueType GX and variable font files that may allow for arbitrary code execution.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.