Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] X.Org X server a Xwayland opravujú 9 zraniteľností

X.Org X server verziou 21.1.23 a Xwayland verziou 24.1.12 opravujú 9 zraniteľností. Najzávažnejšie z nich sú uvedené nižšie. Opravy sú k dispozícii aj v commitoch, ktorých zoznam nájdete na [1]. Z operačných systémov vydal opravu napríklad Slackware v rámci SSA:2026-154-04 [2] či Debian pre sid vo verzii 2:21.1.23-1 (xorg-server) [3] a forky, sid vo verzii 2:24.1.12-1 (xwayland) [3].

X.Org X server a Xwayland - DoS, LPE (CVE-2026-50256)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu stack-based buffer overflow pri spracovaní aliasov fontov umožnené spôsobiť pád servera alebo eskalovať oprávnenia, ak X server beží pod používateľom root [1][4].

Zraniteľnosť sa nachádza v produktoch:

  • X server; <21.1.23
  • Xwayland; <24.1.12

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 6. 2026.

X.Org X server a Xwayland - DoS, LPE (CVE-2026-50257)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu use-after-free vo funkcii miSyncDestroyFence() umožnené spôsobiť pád servera alebo eskalovať oprávnenia, ak X server beží pod používateľom root [1][5].

Zraniteľnosť sa nachádza v produktoch:

  • X server; <21.1.23
  • Xwayland; <24.1.12

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 6. 2026.

X.Org X server a Xwayland - DoS, LPE (CVE-2026-50260)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu use-after-free vo funkcii FreeCounter() umožnené spôsobiť pád servera alebo eskalovať oprávnenia, ak X server beží pod používateľom root [1][6].

Zraniteľnosť sa nachádza v produktoch:

  • X server; <21.1.23
  • Xwayland; <24.1.12

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 6. 2026.

X.Org X server a Xwayland - DoS, LPE (CVE-2026-50264)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu out-of-bounds heap write vo funkciách DRIGetBuffers/DRIGetBuffersWithFormat umožnené spôsobiť pád servera alebo eskalovať oprávnenia, ak X server beží pod používateľom root [1][7].

Zraniteľnosť sa nachádza v produktoch:

  • X server; <21.1.23
  • Xwayland; <24.1.12

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 8. 6. 2026.

CESNET, z.s.p.o. Logo