Mapbox node-fontnik: Integer-Überlauf führt zu Heap-Out-of-Bounds-Write

Zusammenfassung

node-fontnik ist eine Bibliothek, die Schriftglyphen als Signed Distance Fields für Karten- und Textrendering-Pipelines aufbereitet. In Versionen vor 0.7.7 kann eine präparierte Schriftdatei einen Integer-Überlauf bei der Berechnung der SDF-Bitmapgrösse auslösen, was zu einem Heap-Out-of-Bounds-Write und zum Absturz des Prozesses führt. Der Angreifer muss eine Schriftdatei an eine Anwendung liefern, die sie rendert, und benötigt niedrige Berechtigungen auf dem System.

Betroffen

• node-fontnik (npm-Paket fontnik) vor 0.7.7
• Betroffener Bereich gemäss CVE-Eintrag: vor 0.7.7

Behoben in

• Behoben in node-fontnik 0.7.7

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• Zum Zeitpunkt der Recherche kein öffentlicher Proof-of-Concept-Exploit gefunden.

Unsere Empfehlung

• node-fontnik auf 0.7.7 oder neuer aktualisieren und abhängige Images oder Bundles neu erstellen.
• Prüfen, ob node-fontnik in SBOMs oder package-lock.json-Dateien auftaucht, und die installierte Version mit npm view oder npm ls verifizieren.
• Wo Anwendungen benutzerseitig hochgeladene Schriftdateien akzeptieren, diese Uploads einschränken oder ablehnen, bis das Update eingespielt ist.
• Abstürze von Diensten, die Glyphen rendern, überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-cfm6-c7rv-58xj github.com
• Pull Request #202: Fix integer-overflow heap out-of-bounds write in RenderSDF github.com
• Release v0.7.7 github.com
• OffSeq threat radar entry for CVE-2026-63660 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:21.