X.Org Server 21.1.20 wurde aktualisiert, um 3 Sicherheitsanfälligkeiten zu beheben.

Die Korrekturversionen von X.Org Server 21.1.19 und dem DDX-Komponenten (Device-Dependent X) xwayland 24.1.9 wurden veröffentlicht, die den Start von X.Org Server für die Ausführung von X11-Anwendungen in Umgebungen auf Basis von Wayland ermöglichen. In den neuen Versionen wurden 3 Sicherheitsanfälligkeiten behoben, denen ein Risiko von 7,8 auf einer Skala von 10 zugewiesen wurde. Diese Probleme könnten potenziell ausgenutzt werden, um in Systemen, in denen der X-Server mit Root-Rechten ausgeführt wird, Privilegien zu erhöhen und um Code aus der Ferne auszuführen, in Konfigurationen, in denen der Zugriff über die Umleitung von X11-Sitzungen mittels SSH erfolgt.

Behebbare Sicherheitsanfälligkeiten:

• CVE-2025-62229 – Zugriff auf Speicher nach dessen Freigabe im Code zur Erstellung der Struktur XPresentNotify. Das Problem tritt in der Implementierung der X11 Present-Erweiterung auf und führt dazu, dass ein Zeiger auf ein entferntes Objekt present_notify hinterlassen wird, wenn während der Verarbeitung und Hinzufügung von Benachrichtigungen nach der Darstellung der Pixeldarstellung ein Fehler auftritt. Die Sicherheitsanfälligkeit trat erstmals mit dem Release von Xorg 1.15 (2013) auf.
• CVE-2025-62230 – Zugriff auf Speicher nach dessen Freigabe bei der Entfernung von Xkb-Ressourcen für den Client. Die Funktion XkbRemoveResourceClient() gab den Speicher frei, der für die XkbInterest-Daten zugeordnet war, ließ jedoch die damit verbundenen Ressourcen zurück. Die Sicherheitsanfälligkeit trat erstmals mit dem Release von X11R6 (1994) auf.
• CVE-2025-62231 – Integer-Überlauf in der Xkb-Erweiterung. In der Struktur XkbCompatMap wurden Werte im Typ „unsigned short“ gespeichert, jedoch nicht darauf überprüft, dass der Eingabewert den oberen Grenzwert dieses Typs überschreiten kann. Die Sicherheitsanfälligkeit trat erstmals mit dem Release von X11R6 (1994) auf.

Nach intensivem Arbeiten wurde das Korrekturrelease von X.Org Server 21.1.20 erstellt, das das Problem behebt, das zu einem Fehler beim Bau mit dem Build-System Meson führte.

Quelle: opennet.ru