Projekt X.Org zveřejnil opravy pěti zranitelností, které se týkají všech verzí komponent grafického stacku vydaných dříve.
Uživatelům a systémovým administrátorům se doporučuje aktualizovat své systémy na verze xorg-server 21.1.22 a xwayland 24.1.10. Aktualizace odstraní pět bezpečnostních problémů identifikovaných jako CVE od CVE-2026-33999 po CVE-2026-34003. Všechny byly objeveny Janem-Niklasem Sohnem ve spolupráci s iniciativou TrendAI Zero Day Initiative.
- CVE-2026-33999: Přetečení celé číslo v XkbSetCompatMap() – může vést k překročení bufferu při zpracování žádosti.
- CVE-2026-34000: Překročení čtení v CheckSetGeom() – chybná kontrola hranic v XKB umožňuje číst neinitializovanou paměť.
- CVE-2026-34001: Použití po uvolnění (Use-After-Free) v XSYNC – problém v synchronizačním handleru, který může vést k pádu nebo spuštění libovolného kódu.
- CVE-2026-34002: Překročení čtení v CheckModifierMap() – nesprávná kontrola dat v žádosti klienta vede k čtení neinitializované paměti.
- CVE-2026-34003: Přetečení bufferu v CheckKeyTypes() – nesprávná kontrola hranic v této funkci může vést k čtení paměti mimo žádost.
Některé distribuce, například Debian, již tyto problémy klasifikovaly jako drobné v kontextu Xwayland, argumentujíc tím, že Xwayland by neměl fungovat s oprávněními superuživatele.
Zdroj: linux.org.ru
