Werner Lemberg, (un desarrollador clave de la biblioteca de renderizado de fuentes ), alertó recientemente a los usuarios mediante las listas de correo sobre una (CVE-2020-15999) que podría permitir la ejecución de código al procesar archivos TTF especialmente diseñados con glifos sbit PNG.

Existe información de que la vulnerabilidad ya está siendo explotada activamente por los hackers (zeroday). El problema se debe a un desbordamiento del búfer en la función Load_SBit_Png al procesar glifos con mapas de bits grandes (el ancho o alto en el encabezado es mayor que 65535). Un ejemplo de una fuente (940 bytes) que provoca un desbordamiento del búfer.

La solución actualmente solo está disponible como parche, que se incluirá en el lanzamiento del parche FreeType 2.10.4 el cual ya debe estar disponible para la mayoría de las distribuciones de Linux dentro de sus repositorios para actualizar paquetes con FreeType (Debian, RHEL, SUSE, Ubuntu).

Es importante mencionar que el problema en cuestión se solucionó en cuestion de horas en la base de código de Chromium, que usa funciones de FreeType.

Además de que Firefox también usa FreeType, y el último archivo de actualización, en el que hay una vulnerabilidad, se realizó en mayo. Aparentemente, la vulnerabilidad podría aprovecharse en Chrome / Chromium y Firefox al procesar fuentes externas al abrir sitios maliciosos.

También se informa que el problema afecta a la plataforma Android y con ello a todos los dispositivos que lo usan.

Por último, se dio a conocer que la actualización FreeType 2.10.4 se ha publicado con la corrección de la vulnerabilidad y la actualización disponible de Chrome 86.0.4240.111 eliminó la vulnerabilidad asociada con FreeType del navegador y tambien esto estara llegando a los navegadores basados en este. El líder del grupo Project Zero de Google también confirmó que el problema era un problema Zeroday y se usó en exploits contra Chrome antes de que se solucionara la vulnerabilidad.