Projekt X.Org zverejnil opravy piatich zraniteľností, ktoré ovplyvňujú všetky verzie komponentov grafického stacku vydaných predtým.
Užívateľom a systémovým administrátorom sa odporúča aktualizovať svoje systémy na verzie xorg-server 21.1.22 a xwayland 24.1.10. Aktualizácia odstraňuje päť bezpečnostných problémov, ktoré sú označené identifikátormi CVE od CVE-2026-33999 po CVE-2026-34003. Všetky boli objavené Janom-Niklasom Sohnom v spolupráci s iniciatívou TrendAI Zero Day Initiative.
- CVE-2026-33999: Pretečenie celé čísel v XkbSetCompatMap() — môže viesť k prekročeniu bufferu pri spracovaní požiadavky.
- CVE-2026-34000: Prekročenie hraníc pri čítaní v CheckSetGeom() — chyba pri kontrole hraníc v XKB umožňuje čítať neinitializovanú pamäť.
- CVE-2026-34001: Používanie po uvoľnení (Use-After-Free) v XSYNC — problém v obsluhovači synchronizácie, ktorý môže viesť k pádu alebo vykonaniu ľubovoľného kódu.
- CVE-2026-34002: Prekročenie hraníc pri čítaní v CheckModifierMap() — nesprávna kontrola údajov v požiadavke klienta vedie k čítaniu neinitializovanej pamäti.
- CVE-2026-34003: Pretečenie bufferu v CheckKeyTypes() — nesprávna kontrola hraníc v funkcii môže viesť k čítaniu pamäte mimo požiadavku.
Niektoré distribúcie, ako napríklad Debian, už klasifikovali tieto problémy ako nevýznamné v kontexte Xwayland, argumentujúc tým, že Xwayland by nemal pracovať s privilegovanými prístupmi.
Zdroj: linux.org.ru
