X.Org Server 21.1.22 uuendus, mis kõrvaldab 5 haavatavust

Avaldatud on parandavad versioonid X.Org Server 21.1.22 ja DDX-komponendist (Device-Dependent X) xwayland 24.1.10, mis võimaldab X.Org Serveri käitamise korraldamist X11-rakenduste jaoks Waylandi baasil olevates keskkondades. Uutes versioonides on kõrvaldatud 5 turvaprobleemi. Mõned turvaprobleemid võivad potentsiaalselt võimaldada privileegide tõstmist süsteemides, kus X-server töötab root-õigustega, ning ka kaugtäidete teostamist konfiguratsioonides, kus juurdepääs toimub X11 seansi edastamise kaudu SSH abil.

Parandatud haavatavused:

• CVE-2026-34001 — mälu juurdekasutamine pärast selle vabastamist (Use-after-free) funktsioonis miSyncTriggerFence(). Turvaprobleem ilmneb xorg-serveri väljaandmisest 1.9.0 (2010. aasta).
• CVE-2026-33999 — täisarvu ületamine alumise piiri kaudu (underflow) funktsioonis XkbSetCompatMap(), mis viib andmete lugemiseni puutumatust alast, kui töödeldakse spetsiaalselt vormindatud päringuid. Turvaprobleem ilmneb X11R6.6 väljaandmisest (2001. aasta).
• CVE-2026-34000 — lugemine puutumatust alast funktsioonis XkbAddGeomKeyAlias, mis on põhjustatud puuduvast kontrollist antud klahvi nime suuruse ja eraldatud puuti vahel. Turvaprobleem ilmneb xorg-serveri väljaannetest 21.1.4 ja xwayland 22.1.3 (2022. aasta).
• CVE-2026-34002 — lugemine puutumatust alast funktsioonis CheckModifierMap() seoses nõutud klahvide arvu ja tegeliku edastatud parameetrite arvu leidmiseks puuduvast kontrollist. Turvaprobleem ilmneb X11R6.6 väljaandmisest (2001. aasta).
• CVE-2026-34003 — puutumatuse ületamine XKB-funktsioonis CheckKeyTypes(), mis viib puutumatust alast andmete lugemiseni puuduvate kontrollide tõttu, mis tagavad, et puutumatuse suurus vastab päringus edastatud andmetele. Turvaprobleem ilmneb X11R6.6 väljaandmisest (2001. aasta).

Allikas: opennet.ru