Уязвимость в FreeType (CVE-2026-95512) позволяет вызвать отказ в обслуживании через повторные аллокации сабрутин в CID-загрузчике шрифтов
В библиотеке FreeType обнаружена уязвимость CVE-2026-95512, связанная с CID-загрузчиком шрифтов. Специально сформированный CID-шрифт вызывает повторные аллокации и расшифровки данных сабрутин, что приводит к чрезмерному потреблению памяти и CPU. Уязвимость оценена как средняя (CVSS 5.5) и затрагивает ряд продуктов Red Hat, включая RHEL и сборку OpenJDK.
Подробности
Уязвимость находится в компоненте FreeType, отвечающем за загрузку CID-шрифтов (CID font loader). Атакующий может exploit'нуть её, если убедит пользователя открыть контент, который встраивает или ссылается на специально сформированный CID-keyed шрифт. Такой шрифт вызывает повторные аллокации и расшифровки данных сабрутин (subroutine data) сразу в нескольких словарях шрифта (font dictionaries). Это приводит к чрезмерному расходу памяти и процессорного времени, из-за чего обрабатывающее шрифт приложение или сервис может зависнуть или аварийно завершиться. Уязвимости присвоен рейтинг CVSS 5.5 (MEDIUM). Согласно записи CVE, затронуты следующие продукты Red Hat: Red Hat build of OpenJDK 11 ELS, Red Hat Enterprise Linux 10, Red Hat Enterprise Linux 6, Red Hat Enterprise Linux 7, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9, а также Red Hat Hardened Images. Тип уязвимости — отказ в обслуживании через исчерпание ресурсов.Что делать
Прежде всего рекомендуется отслеживать выпуск обновлений FreeType и продуктов Red Hat, в которых используется уязвимая библиотека, и установить их после публикации. Поскольку на момент публикации записи CVE информация о версиях с исправлением и официальных патчах не приведена, следует ориентироваться на бюллетени безопасности Red Hat и релизы проекта FreeType. В качестве временных мер митигации можно ограничить обработку недоверенных CID-шрифтов: например, запретить или фильтровать загрузку шрифтов из внешних источников, применять изоляцию процессов рендеринга шрифтов и ограничивать потребление памяти и CPU для сервисов, работающих с пользовательским контентом. Также полезно настроить мониторинг аномального роста потребления ресурсов процессами, обрабатывающими шрифты. Итог: CVE-2026-95512 — уязвимость средней критичности в FreeType, позволяющая удалённо вызвать отказ в обслуживании через специально сформированный CID-шрифт. Основная рекомендация — своевременно обновлять FreeType и затронутые продукты Red Hat, а до выхода патчей ограничить обработку недоверенных шрифтов и контролировать потребление ресурсов.Источник: CVE Project (cvelistV5)