Проект X.Org выпустил критические обновления, направленные на устранение пяти уязвимостей в компонентах графического стека. Исправления затронули все ранее выпущенные версии программного обеспечения.
Разработчики настоятельно рекомендуют пользователям и системным администраторам как можно скорее обновить компоненты системы до версий xorg-server 21.1.22 и xwayland 24.1.10.
Подробности уязвимостей
Устраненным проблемам присвоены идентификаторы CVE-2026–33999 — CVE-2026–34003. Все они были выявлены специалистом Яном-Никласом Зоном (Jan-Niklas Sohn) в тесном сотрудничестве с TrendAI Zero Day Initiative.
Список устраненных проблем:
- CVE-2026–33999: Целочисленное переполнение в функции XkbSetCompatMap(). Ошибка может привести к выходу за границы буфера при обработке специализированного запроса.
- CVE-2026–34000: Выход за границы при чтении в CheckSetGeom(). Ошибка в механизме проверки границ XKB позволяет злоумышленнику считывать неинициализированные области памяти.
- CVE-2026–34001: Уязвимость типа Use-After-Free (использование после освобождения памяти) в компоненте XSYNC. Проблема в обработчике синхронизации способна спровоцировать крах системы или выполнение произвольного программного кода.
- CVE-2026–34002: Выход за границы при чтении в функции CheckModifierMap(). Некорректная валидация данных в клиентском запросе провоцирует чтение неинициализированной памяти.
- CVE-2026–34003: Переполнение буфера в CheckKeyTypes(). Ошибка при проверке границ в данной функции может привести к чтению данных за пределами допустимого запроса.
Оценка рисков
Несмотря на серьезность ошибок, некоторые дистрибутивы Linux, в частности Debian, уже оценили степень опасности для Xwayland как незначительную. По мнению экспертов проекта, это связано с тем, что работа Xwayland обычно не требует прав суперпользователя, что ограничивает потенциальную площадь атаки.
