Seis vulnerabilidades graves levaram o X.Org Server e XWayland a receberem atualização de segurança. Pelo menos desde 2013 se sabe que a segurança não é uma característica forte do X.Org. Desde aquele ano, um pesquisador de segurança chamou a situação da segurança do servidor X.Org de “pior do que parece” e um grande desastre do ponto de vista de segurança/bug para a base de código antiga. Passada uma década, ainda não faltam vulnerabilidades de segurança descobertas no servidor X.Org.
No início de 2024, outras seis vulnerabilidades de segurança no servidor X.Org – e também no XWayland – foram descobertas. Essa combinação de CVEs de 2023 e 2024 inclui estouros de buffer de heap, acessos à memória fora dos limites e corrupção de contexto do SELinux, entre outros.
X.Org Server e XWayland recebem atualização de segurança devido a seis vulnerabilidades
As seis novas vulnerabilidades de segurança do servidor X.Org são mencionadas neste anúncio.
Como resultado, o X.Org Server 21.1.11 e o XWayland 23.2.4 foram lançados para fornecer essas correções de segurança.
X.Org Server e XWayland atualizados devido a vulnerabilidades de segurança de duas décadas
Na verdade, esta é a segunda atualização do X.Org Server e do XWayland em cerca de um mês, pois me dezembro, ambos já passaram por uma atualização importante, novamente por conta da segurança. O problema é tão crônico que empresas como a Red Hat desistem de investir neste recurso em seus sistemas. O mais grave é a demora para essas correções terem chegado, já que eram problemas conhecidos desde 2007.
Notícias Relacionadas
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
Mercado elétrico
Xiaomi atinge R$ 7,14 bilhões em receita com veículos elétricos no 3º trimestre de 2024
Xiaomi fecha o 3º trimestre de 2024 com R$ 7,14 bilhões em receita com veículos elétricos, impulsionado pelo sucesso da série SU7, apesar do prejuízo operacional.
Em dezembro de 2023, X.Org Server 21.1.10 e XWayland 23.2.3 ficaram disponíveis para resolver CVE-2023-6377 e CVE-2023-6478.
A vulnerabilidade CVE-2023-6377 é uma gravação de memória fora dos limites nas ações do botão XKB, onde forçar uma mudança de dispositivo lógico em um dispositivo com botões pode resultar nessa gravação de memória fora dos limites. Isso pode levar a um escalonamento de privilégios locais se o servidor for executado como root ou usando execução remota de código como X11 sobre SSH.
CVE-2023-6478 é uma leitura de memória fora dos limites nas funções RRChangeOutputProperty e RRChangeProviderProperty que pode levar à divulgação de informações.
Essas vulnerabilidades de segurança mais recentes do X.Org foram descobertas pela Trend Micro Zero Day Initiative, que também foi responsável por descobrir uma série de outros problemas de segurança na base de código do X.Org ao longo dos anos.
