Az X.Org projekt közzétett öt sebezhetőség javítását, amely minden korábbi grafikai stack komponens verziót érint.
A felhasználóknak és rendszergazdáknak ajánlott frissíteni rendszereiket az xorg-server 21.1.22 és xwayland 24.1.10 verziókra. A frissítés öt biztonsági problémát orvosol, amelyek azonosítói a CVE-nek a CVE-2026-33999-től a CVE-2026-34003-ig. Ezeket Jan-Niklas Sohn fedezte fel a TrendAI Zero Day Initiative kezdeményezésével együttműködve.
- CVE-2026-33999: Egész szám túlcsordulás az XkbSetCompatMap() függvényben — puffer túlcsorduláshoz vezethet a kérés feldolgozása során.
- CVE-2026-34000: Olvasási túlcsordulás a CheckSetGeom() függvényben — a határok ellenőrzésének hibája az XKB-ben lehetővé teszi, hogy inicializálatlan memóriát olvassunk.
- CVE-2026-34001: Használat felszabadítás után (Use-After-Free) az XSYNC-ban — probléma a szinkronizáló kezelőben, amely összeomláshoz vagy tetszőleges kód végrehajtásához vezethet.
- CVE-2026-34002: Olvasási túlcsordulás a CheckModifierMap() függvényben — a kliens kérésben lévő adatok helytelen ellenőrzése inicializálatlan memória olvasásához vezet.
- CVE-2026-34003: Puffertúlcsordulás a CheckKeyTypes() függvényben — a határok helytelen ellenőrzése a függvényben memória olvasásához vezethet a kérés határain túlnyúlva.
Néhány disztribúció, például a Debian, már kisebb jelentőségűnek minősítette ezeket a problémákat az Xwayland esetében, érvelve, hogy az Xwayland nem működhet superuser jogosultságokkal.
Forrás: linux.org.ru
