X.Org-projektet har offentliggjort rettelser til fem sårbarheder, der påvirker alle versioner af grafiske stakkomponenter udgivet før.
Brugere og systemadministratorer anbefales at opdatere deres systemer til versioner xorg-server 21.1.22 og xwayland 24.1.10. Opdateringen løser fem sikkerhedsproblemer, der har fået CVE-identifikatorer fra CVE-2026-33999 til CVE-2026-34003. Alle blev opdaget af Jan-Niklas Sohn i samarbejde med TrendAI Zero Day Initiative.
- CVE-2026-33999: Hele tal overflow i XkbSetCompatMap() — kan føre til buffer overflow ved behandling af anmodningen.
- CVE-2026-34000: Læsegrænseoverskridelse i CheckSetGeom() — en fejl i grænsekontrol i XKB tillader læsning af uinitialiseret hukommelse.
- CVE-2026-34001: Use-After-Free i XSYNC — en fejl i synkroniseringshåndteringen, der kan føre til nedbrud eller udførelse af vilkårlig kode.
- CVE-2026-34002: Læsegrænseoverskridelse i CheckModifierMap() — forkert datavalidering i klientanmodningen fører til læsning af uinitialiseret hukommelse.
- CVE-2026-34003: Buffer overflow i CheckKeyTypes() — forkert grænsekontrol i funktionen kan føre til læsning af hukommelse udenfor anmodningen.
Nogle distributioner, som fx Debian, har allerede klassificeret disse problemer som mindre i forhold til Xwayland, idet de argumenterer for, at Xwayland ikke bør køre med superbrugerprivilegier.
Kilde: linux.org.ru
