X.Org সার্ভার 21.1.9 এবং xwayland 23.2.2 দুর্বলতা সংশোধন করে আপডেট করুন

X.Org সার্ভার 21.1.9 এবং DDX কম্পোনেন্ট (ডিভাইস-নির্ভর X) xwayland 22.2.2-এর সংশোধনমূলক রিলিজ প্রকাশিত হয়েছে, যা ওয়েল্যান্ড-ভিত্তিক পরিবেশে X11 অ্যাপ্লিকেশানগুলি সম্পাদনের আয়োজনের জন্য X.Org সার্ভার চালু করা নিশ্চিত করে। নতুন সংস্করণগুলি দুর্বলতাগুলির সমাধান করে যা X সার্ভারটি রুট হিসাবে চালিত সিস্টেমগুলিতে বিশেষাধিকার বৃদ্ধির জন্য এবং সেইসাথে অ্যাক্সেসের জন্য SSH এর মাধ্যমে X11 সেশন পুনঃনির্দেশ ব্যবহার করে এমন কনফিগারেশনগুলিতে দূরবর্তী কোড নির্বাহের জন্য ব্যবহার করা যেতে পারে।

চিহ্নিত সমস্যা:

• CVE-2023-5367 - XIChangeDeviceProperty এবং RRChangeOutputProperty ফাংশনে বাফার ওভারফ্লো, যা ইনপুট ডিভাইস সম্পত্তি বা র্যান্ড্র সম্পত্তিতে অতিরিক্ত উপাদান সংযুক্ত করে শোষণ করা যেতে পারে। xorg-server 1.4.0 (2007) প্রকাশের পর থেকে দুর্বলতা উপস্থিত রয়েছে এবং বিদ্যমান বৈশিষ্ট্যগুলিতে অতিরিক্ত উপাদান সংযুক্ত করার সময় একটি ভুল অফসেট গণনার কারণে ঘটে, যার ফলে উপাদানগুলি একটি ভুল অফসেটে যোগ করা হয়, যার ফলে লেখা হয় বরাদ্দকৃত বাফারের বাইরে একটি মেমরি এলাকায়। উদাহরণস্বরূপ, আপনি যদি বিদ্যমান 3টি উপাদানের সাথে 5টি উপাদান যুক্ত করেন, তাহলে 8টি উপাদানের একটি অ্যারের জন্য মেমরি বরাদ্দ করা হবে, তবে পূর্বে বিদ্যমান উপাদানগুলি 5টির পরিবর্তে 3 সূচক থেকে শুরু করে নতুন অ্যারেতে সংরক্ষণ করা হবে, যার ফলে শেষ দুটি উপাদান সীমার বাইরে লেখা
• CVE-2023-5380 – DestroyWindow ফাংশনে মুক্ত করার পরে (ব্যবহারের পরে-মুক্ত) মেমরি অ্যাক্সেস। জ্যাফোড মোডে মাল্টি-মনিটর কনফিগারেশনে স্ক্রীনের মধ্যে পয়েন্টার সরানোর মাধ্যমে সমস্যাটি কাজে লাগানো যেতে পারে, যেখানে প্রতিটি মনিটর নিজস্ব স্ক্রিন তৈরি করে এবং ক্লায়েন্ট উইন্ডো বন্ধ ফাংশনকে কল করে। xorg-server 1.7.0 (2009) প্রকাশের পর থেকে দুর্বলতা দেখা দিয়েছে এবং এটি এই কারণে ঘটে যে একটি উইন্ডো বন্ধ করার পরে এবং এর সাথে সম্পর্কিত মেমরি মুক্ত করার পরে, পূর্ববর্তী উইন্ডোটির একটি সক্রিয় পয়েন্টার কাঠামোতে থেকে যায় যা পর্দা প্রদান করে বাঁধাই Xwayland প্রশ্নে দুর্বলতার দ্বারা প্রভাবিত হয় না।
• CVE-2023-5574 – DamageDestroy ফাংশনে বিনামূল্যে মেমরি অ্যাক্সেস ব্যবহার করুন। সার্ভার শাটডাউন বা শেষ ক্লায়েন্টের সংযোগ বিচ্ছিন্ন করার সময় ScreenRec কাঠামো পরিষ্কার করার প্রক্রিয়া চলাকালীন Xvfb সার্ভারে দুর্বলতা ব্যবহার করা যেতে পারে। আগের দুর্বলতার মতো, সমস্যাটি শুধুমাত্র জাফোড মোডে মাল্টি-মনিটর কনফিগারেশনে দেখা যায়। xorg-server-1.13.0 (2012) প্রকাশের পর থেকে দুর্বলতা উপস্থিত রয়েছে এবং অপরিবর্তিত রয়েছে (শুধুমাত্র একটি প্যাচ আকারে স্থির)।

দুর্বলতা দূর করার পাশাপাশি, xwayland 23.2.2 libbsd-ওভারলে লাইব্রেরি থেকে libbsd-এ স্যুইচ করেছে এবং কম্পোজিট সার্ভারে XTest ইভেন্ট পাঠাতে ব্যবহৃত সকেট নির্ধারণ করতে RemoteDesktop XDG ডেস্কটপ পোর্টাল ইন্টারফেসের সাথে স্বয়ংক্রিয়ভাবে সংযোগ বন্ধ করে দিয়েছে। একটি নেস্টেড কম্পোজিট সার্ভারে Xwayland চালানোর সময় স্বয়ংক্রিয় সংযোগ সমস্যা তৈরি করে, তাই নতুন সংস্করণে, পোর্টালের সাথে সংযোগ করার জন্য "-enable-ei-portal" বিকল্পটি স্পষ্টভাবে উল্লেখ করা আবশ্যক।

উত্স: opennet.ru