Google heeft fontverwerker FreeType in Chrome vervangen door een alternatief dat is geschreven in Rust. De nieuwe library, Skrifa, is voornamelijk veiliger op geheugengebied. Ook vereist het minder onderhoud.
Google schrijft in een blogpost dat het de nieuwe library al in Chrome 133 heeft vervangen. Die versie kwam in februari uit. Google heeft daarin FreeType vervangen met een eigen alternatief, genaamd Skrifa. Dat gebeurt alleen in de browsers voor ChromeOS, Linux en Android.
FreeType en Skrifa zijn verwerkers voor fonts in de browser. Die worden aangesproken door de graphics-library Skia om bijvoorbeeld metadata van fonts in OpenType-formaat in te laden. Die library is volgens Google veelzijdig en complex, maar kent ook veel beveiligingsrisico's. Met name bij geautomatiseerd fuzzen is het vrij eenvoudig kwetsbaarheden in de library te vinden. Google zegt dat een voltijdprogrammeur een kwart van diens werktijd al kwijt is aan alleen het bijhouden van fuzzingbugs in FreeType.
Google vervangt die library daarom nu met een eigen implementatie, Skrifa. Die is in Rust geschreven. Rust is een programmeertaal die met name beter beveiligt tegen bugs die via het geheugen wordt uitgebuit. Skrifa zou met name het aantal out-of-bounds-bugs in het geheugen moeten verlagen.
Source: Tweakers.net