Korrigerende udgivelser af X.Org Server 21.1.19 og DDX-komponenten (Device-Dependent X) xwayland 24.1.9 er blevet offentliggjort, hvilket muliggør kørsel af X.Org Server til at udføre X11-applikationer i Wayland-baserede miljøer. De nye versioner løser 3 sårbarheder, der er vurderet til en alvorlighed på 7.8 ud af 10. Problemerne kan potentielt udnyttes til at opnå forhøjede rettigheder i systemer, hvor X-serveren kører med root-rettigheder, samt til fjernudførelse af kode i konfigurationer, hvor sessionen X11 tilgås via SSH.
Rettede sårbarheder:
- CVE-2025-62229 – adgang til hukommelse efter frigivelse i koden, der opretter strukturen XPresentNotify. Problemet opstår i implementeringen af X11 Present-udvidelsen og fører til, at en pegepointers til det fjernede objekt present_notify bevares, hvis der opstår en fejl under behandling og tilføjelse af meddelelser efter præsentation af pixelkortet. Sårbarheden opstod med udgivelsen af Xorg 1.15 (2013).
- CVE-2025-62230 – adgang til hukommelse efter frigivelse ved fjernelse af Xkb-ressourcer for klienten. Funktionen XkbRemoveResourceClient() frigav hukommelsen, der var tildelt til XkbInterest-dataene, som var tilknyttet en enhed, men efterlod de relaterede ressourcer. Sårbarheden opstod med udgivelsen af X11R6 (1994).
- CVE-2025-62231 – heltalsoverskridelse i Xkb-udvidelsen. I strukturen XkbCompatMap blev værdierne opbevaret som "unsigned short", men der blev ikke kontrolleret, om indgangsværdien kunne overstige den øvre grænse for denne type. Sårbarheden opstod med udgivelsen af X11R6 (1994).
Straks efterfølgende er der udarbejdet en korrigerende udgivelse af X.Org Server 21.1.20, som løser problemet, der forårsagede nedbrud ved bygning med Meson-byggeværktøjet.
Kilde: opennet.ru
