Актуализация на сигурността: X.Org Server 21.1.22 и Xwayland 24.1.10

Проект X.Org публикува корекции на пет уязвимости, засягащи всички версии на компонентите на графичния стек, издадени преди.

На потребителите и системните администратори се препоръчва да актуализират своите системи до версиите xorg-server 21.1.22 и xwayland 24.1.10. Актуализацията премахва пет проблеми със сигурността, на които са присвоени идентификатори CVE от CVE-2026-33999 до CVE-2026-34003. Всички те бяха открити от Яна-Никлас Зон (Jan-Niklas Sohn) в сътрудничество с инициативата TrendAI Zero Day Initiative.

• CVE-2026-33999: Целочислено преливане в XkbSetCompatMap() — може да доведе до излизане извън границите на буфера при обработка на заявка.
• CVE-2026-34000: Излизане извън границите на четене в CheckSetGeom() — грешка при проверка на границите в XKB позволява четене на неинициализирана памет.
• CVE-2026-34001: Използване след освобождаване (Use-After-Free) в XSYNC — проблем в обработчика на синхронизация, който може да доведе до срив или изпълнение на произволен код.
• CVE-2026-34002: Излизане извън границите на четене в CheckModifierMap() — неправилна проверка на данните в заявката на клиента води до четене на неинициализирана памет.
• CVE-2026-34003: Преливане на буфера в CheckKeyTypes() — неправилната проверка на границите в функцията може да доведе до четене на памет извън границите на заявката.

Някои дистрибуции, например Debian, вече са класифицирали тези проблеми като незначителни в контекста на Xwayland, аргументирайки, че Xwayland не трябва да работи с привилегии на суперпотребител.

Източник: linux.org.ru