Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] X.Org X server a Xwayland opravujú 8 vysoko závažných zraniteľností

X.Org X server verziou 21.1.16 a Xwayland verziou 24.1.6 opravujú 8 zraniteľností. Opravy sú k dispozícii aj v commitoch, ktorých zoznam nájdete na [1]. Z operačných systémov vydal opravu Slackware v rámci SSA:2025-056-01 [2] či Ubuntu [3][4][5][6][7][8][9][10]. Debian vydal opravu iba pre nestabilnú distribúciu sid vo verzii 2:21.1.16-1 (balík xorg-server) a 2:24.1.6-1 (balík xwayland) [11][12]; Gentoo zraniteľnosti opravilo v testovacích verziách [13][14]. Jednotlivé vydania Ubuntu (balíky v poradí xorg-server a xwayland) a opravené verzie produktov [3][4][5][6][7][8][9][10]: oracular - 2:21.1.13-2ubuntu1.2 a 2:24.1.2-1ubuntu0.4; noble - 2:21.1.12-1ubuntu1.2 a 2:23.2.6-1ubuntu0.4; jammy - 2:21.1.4-2ubuntu1.7~22.04.13 a 2:22.1.1-1ubuntu0.17; focal - 2:1.20.13-1ubuntu1~20.04.19 (xorg-server).

X.Org X server a Xwayland - use-after-free (CVE-2025-26594, CVE-2025-26600, CVE-2025-26601)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je vďaka zraniteľnosti typu use-after-free umožnené neoprávnene pristupovať do pamäte [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:X.Org X server;<21.1.16;
  • *:Xwayland;<24.1.6;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 25. 2. 2025.

X.Org X server a Xwayland - out-of-bounds access (CVE-2025-26595, CVE-2025-26596, CVE-2025-26597, CVE-2025-26598)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je umožnené neoprávnene pristupovať mimo hraníc alokovanej pamäte [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:X.Org X server;<21.1.16;
  • *:Xwayland;<24.1.6;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 25. 2. 2025.

X.Org X server a Xwayland - uninitialized pointer access (CVE-2025-26599)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je vďaka prístupu k neinicializovanému ukazovateľu umožnené neoprávnene pristupovať do pamäte [1].

Zraniteľnosť sa nachádza v produktoch:

  • *:X.Org X server;<21.1.16;
  • *:Xwayland;<24.1.6;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 25. 2. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 27. 2. 2025.

CESNET, z.s.p.o. Logo