Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] X.Org a Xwayland opravujú vysoko závažnú zraniteľnosť

X.Org X server vo verzii 21.1.14 a Xwayland vo verzii 24.1.4 opravujú vysoko závažnú zraniteľnosť [1]. Debian už vydal opravy pre distribúciu bullseye vo verzii 2:1.20.11-1+deb11u14, bookworm vo verzii 2:21.1.7-3+deb12u8 a sid vo verzii 2:21.1.14-1 [2]. Slackware vydal opravu v rámci SSA:2024-304-04 [3].

X.Org a Xwayland - eskalácia oprávnení (CVE-2024-9632)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je umožnené zneužiť pretečenie zásobníka, a to kvôli nesprávnej veľkosti alokácie vo funkcii _XkbSetCompatMap. To môže viesť k eskalácii oprávnení, ak server X.Org beží pod rootom, alebo k vzdialenému vykonaniu kódu pri behu programu cez SSH [1].

Zraniteľnosť sa nachádza v produktoch:

  • X.Org X server; <21.1.14
  • Xwayland; <24.1.4

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 29. 10. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 31. 10. 2024.

CESNET, z.s.p.o. Logo