Актуализация на сигурността: X.Org Server 21.1.22 и Xwayland 24.1.10

Проект X.Org публикува корекции на пет уязвимости, които засягат всички версии на компонентите на графичния стек, издадени преди това.

На потребителите и системните администратори се препоръчва да актуализират своите системи до версии xorg-server 21.1.22 и xwayland 24.1.10. Актуализацията отстранява пет проблема със сигурността, идентифицирани с CVE от CVE-2026-33999 до CVE-2026-34003. Всички те бяха открити от Ян-Никлас Зон (Jan-Niklas Sohn) в сътрудничество с инициативата TrendAI Zero Day Initiative.

• CVE-2026-33999: Целочислено препълване в XkbSetCompatMap() — може да доведе до излизане извън границите на буфера при обработка на заявка.
• CVE-2026-34000: Излизане извън границите при четене в CheckSetGeom() — грешка при проверка на границите в XKB позволява четене на неинициализирана памет.
• CVE-2026-34001: Използване след освобождаване (Use-After-Free) в XSYNC — проблем в обработвача за синхронизация, който може да доведе до срив или изпълнение на произволен код.
• CVE-2026-34002: Излизане извън границите при четене в CheckModifierMap() — неправилна проверка на данните в заявката на клиента води до четене на неинициализирана памет.
• CVE-2026-34003: Препълване на буфер в CheckKeyTypes() — некоректна проверка на границите в функцията може да доведе до четене на памет извън заявката.

Някои дистрибуции, например Debian, вече класифицираха тези проблеми като незначителни в контекста на Xwayland, аргументирайки, че Xwayland не трябва да работи с привилегии на суперпотребител.

Източник: linux.org.ru