FontForgeのSFDファイル解析処理において、配列インデックスの適切なバリデーションが行われていないことが原因で、リモートコード実行の脆弱性が存在します。この脆弱性により、リモートの攻撃者はFontForgeがインストールされた環境上で任意のコードを実行できます。攻撃者がこの脆弱性を悪用するには、ユーザーが悪意のあるページにアクセスするか、悪意のあるファイルを開く必要があります。具体的には、SFDファイル解析処理中にユーザー入力データが適切に検証されず、割り当てられた配列の範囲を超えて書き込まれてしまう場合があります。結果として、攻撃者は現在のユーザー権限でコードを実行できる可能性があります。この問題はZDI-CAN-28563として報告されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。