X.Org সার্ভার 21.1.9 এবং xwayland 23.2.2 দুর্বলতা সংশোধন করে আপডেট করুন

X.Org সার্ভার 21.1.9 এবং DDX কম্পোনেন্ট (ডিভাইস-নির্ভর X) xwayland 22.2.2-এর সংশোধনমূলক রিলিজ প্রকাশিত হয়েছে, যা ওয়েল্যান্ড-ভিত্তিক পরিবেশে X11 অ্যাপ্লিকেশানগুলি সম্পাদনের আয়োজনের জন্য X.Org সার্ভার চালু করা নিশ্চিত করে। নতুন সংস্করণগুলি দুর্বলতাগুলির সমাধান করে যা X সার্ভারটি রুট হিসাবে চালিত সিস্টেমগুলিতে বিশেষাধিকার বৃদ্ধির জন্য এবং সেইসাথে অ্যাক্সেসের জন্য SSH এর মাধ্যমে X11 সেশন পুনঃনির্দেশ ব্যবহার করে এমন কনফিগারেশনগুলিতে দূরবর্তী কোড নির্বাহের জন্য ব্যবহার করা যেতে পারে।

চিহ্নিত সমস্যা:

• CVE-2023-5367 - XIChangeDeviceProperty এবং RRChangeOutputProperty ফাংশনে বাফার ওভারফ্লো, যা ইনপুট ডিভাইস সম্পত্তি বা র্যান্ড্র সম্পত্তিতে অতিরিক্ত উপাদান সংযুক্ত করে শোষণ করা যেতে পারে। xorg-server 1.4.0 (2007) প্রকাশের পর থেকে দুর্বলতা উপস্থিত রয়েছে এবং বিদ্যমান বৈশিষ্ট্যগুলিতে অতিরিক্ত উপাদান সংযুক্ত করার সময় একটি ভুল অফসেট গণনার কারণে ঘটে, যার ফলে উপাদানগুলি একটি ভুল অফসেটে যোগ করা হয়, যার ফলে লেখা হয় বরাদ্দকৃত বাফারের বাইরে একটি মেমরি এলাকায়। উদাহরণস্বরূপ, আপনি যদি বিদ্যমান 3টি উপাদানের সাথে 5টি উপাদান যুক্ত করেন, তাহলে 8টি উপাদানের একটি অ্যারের জন্য মেমরি বরাদ্দ করা হবে, তবে পূর্বে বিদ্যমান উপাদানগুলি 5টির পরিবর্তে 3 সূচক থেকে শুরু করে নতুন অ্যারেতে সংরক্ষণ করা হবে, যার ফলে শেষ দুটি উপাদান সীমার বাইরে লেখা
• CVE-2023-5380 – DestroyWindow ফাংশনে মুক্ত করার পরে (ব্যবহারের পরে-মুক্ত) মেমরি অ্যাক্সেস। জ্যাফোড মোডে মাল্টি-মনিটর কনফিগারেশনে স্ক্রীনের মধ্যে পয়েন্টার সরানোর মাধ্যমে সমস্যাটি কাজে লাগানো যেতে পারে, যেখানে প্রতিটি মনিটর নিজস্ব স্ক্রিন তৈরি করে এবং ক্লায়েন্ট উইন্ডো বন্ধ ফাংশনকে কল করে। xorg-server 1.7.0 (2009) প্রকাশের পর থেকে দুর্বলতা দেখা দিয়েছে এবং এটি এই কারণে ঘটে যে একটি উইন্ডো বন্ধ করার পরে এবং এর সাথে সম্পর্কিত মেমরি মুক্ত করার পরে, পূর্ববর্তী উইন্ডোটির একটি সক্রিয় পয়েন্টার কাঠামোতে থেকে যায় যা পর্দা প্রদান করে বাঁধাই Xwayland প্রশ্নে দুর্বলতার দ্বারা প্রভাবিত হয় না।
• CVE-2023-5574 - DamageDestroy ফাংশনে একটি Use-after-free দুর্বলতা। এই দুর্বলতাটি কাজে লাগানো যেতে পারে সার্ভার সার্ভার শাটডাউন বা শেষ ক্লায়েন্ট সংযোগ বিচ্ছিন্ন হওয়ার সময় ScreenRec স্ট্রাকচার পরিষ্কার করার সময় Xvfb-এর এই দুর্বলতা দেখা দেয়। পূর্ববর্তী দুর্বলতার মতোই, এই সমস্যাটি শুধুমাত্র Zaphod মোডে মাল্টি-মনিটর কনফিগারেশনে প্রকাশ পায়। এই দুর্বলতাটি xorg-server-1.13.0 রিলিজ (২০১২) থেকে বিদ্যমান এবং এখনও পর্যন্ত এর কোনো প্যাচ দেওয়া হয়নি (এর একমাত্র সমাধান হলো একটি প্যাচ)।

দুর্বলতাগুলো সংশোধন করার পাশাপাশি, xwayland 23.2.2 libbsd-overlay লাইব্রেরি থেকে libbsd-তে স্থানান্তরিত হয়েছে এবং কম্পোজিট পাঠানোর জন্য ব্যবহৃত সকেট নির্ধারণ করতে RemoteDesktop XDG ডেস্কটপ পোর্টাল ইন্টারফেসে স্বয়ংক্রিয়ভাবে সংযোগ স্থাপন করা বন্ধ করেছে। সার্ভার XTest ইভেন্ট। একটি নেস্টেড কম্পোজিট সার্ভারে Xwayland চালানোর সময় স্বয়ংক্রিয় সংযোগ সমস্যা সৃষ্টি করত, তাই নতুন সংস্করণে পোর্টালে সংযোগ করার জন্য "-enable-ei-portal" অপশনটি স্পষ্টভাবে উল্লেখ করতে হবে।

উত্স: opennet.ru