Projekt X.Org objavio je ispravke za pet ranjivosti koje utječu na sve verzije komponenti grafičkog stoga objavljene ranije.
Korisnicima i sistemskim administratorima se preporučuje da ažuriraju svoje sustave na verzije xorg-server 21.1.22 i xwayland 24.1.10. Ažuriranje uklanja pet problema sigurnosti, kojima su dodijeljeni identifikatori CVE od CVE-2026-33999 do CVE-2026-34003. Svi su otkriveni od strane Jana-Niklasa Söhna u suradnji s inicijativom TrendAI Zero Day Initiative.
- CVE-2026-33999: Cjelobrojni preliv u XkbSetCompatMap() — može dovesti do prekomjernog izlaska izvan granica pri obradi zahtjeva.
- CVE-2026-34000: Izlazak izvan granica čitanja u CheckSetGeom() — greška u provjeri granica u XKB omogućuje čitanje neinicijalizirane memorije.
- CVE-2026-34001: Korištenje nakon oslobađanja (Use-After-Free) u XSYNC — problem u obradi sinkronizacije koji može dovesti do rušenja ili izvršavanja proizvoljnog koda.
- CVE-2026-34002: Izlazak izvan granica čitanja u CheckModifierMap() — netočna provjera podataka u zahtjevu klijenta dovodi do čitanja neinicijalizirane memorije.
- CVE-2026-34003: Prelivanje bafera u CheckKeyTypes() — neispravna provjera granica u funkciji može dovesti do čitanja memorije izvan zahtjeva.
Neki distribucije, poput Debiana, već su klasificirali ove probleme kao manje u kontekstu Xwayland, opravdavajući to time da Xwayland ne bi trebao raditi pod privilegijama superkorisnika.
Izvor: linux.org.ru
