X.Org Server 21.1.22 uuendus, mis kõrvaldab 5 haavatavust.

On avaldatud parandusväljaanded X.Org Server 21.1.22 ja DDX-komponendi (Device-Dependent X) xwayland 24.1.10, mis võimaldab X.Org Serveri käivitamist X11 rakenduste täitmiseks Waylandi põhistel keskkondadel. Uutes versioonides on kõrvaldatud 5 haavatavust. Mõned haavatavused võivad potensiaalselt võimaldada õiguste tõstmist süsteemides, kus X-server töötab root-õigustega, ning ka kaugkoodi täitmist konfiguratsioonides, kus juurdepääs toimub SSH seanssi X11 suunamise kaudu.

Parandatud haavatavused:

• CVE-2026-34001 — mälule juurdepääs pärast selle vabastamist (Use-after-free) funktsioonis miSyncTriggerFence(). Haavatavus esineb alates xorg-server 1.9.0 versioonist (2010. aasta).
• CVE-2026-33999 — täisarvu ülevaatus altpoolt (underflow) funktsioonis XkbSetCompatMap(), mis viib andmete lugemise mälu piiridest väljapoole korrektselt vormistatud päringute töötlemisel. Haavatavus esineb alates X11R6.6 versioonist (2001. aasta).
• CVE-2026-34000 — lugemise viga mälust väljaspool XkbAddGeomKeyAlias funktsioonis, mis tuleneb nupu nime suuruse vastavuse kontrolli puudumisest ja eraldatud mälubufriga. Haavatavus ilmneb xorg-server versioonidest 21.1.4 ja xwayland 22.1.3 (2022. aasta).
• CVE-2026-34002 — lugemise viga mälust väljaspool CheckModifierMap() funktsioonis, mis tuleneb nupude arvu kontrollimise puudumisest, mida taotletakse tegeliku edastatud parameetrite arvu suhtes. Haavatavus ilmneb X11R6.6 väljaandest (2001. aasta).
• CVE-2026-34003 — puhvri ülevool XKB funktsioonis CheckKeyTypes(), mis viib andmete lugemiseni mälust väljaspool, kuna ei ole kontrollitud, kas puhvri suurus vastab taotletud andmetele. Haavatavus ilmneb X11R6.6 väljaandest (2001. aasta).

Allikas: opennet.ru