Os mantenedores do projeto X.Org publicaram as versões 21.1.26 do X.Org Server e 24.1.15 do Xwayland para corrigir um pacote de oito vulnerabilidades descobertas no código do servidor de exibição. As falhas envolvem falhas matemáticas em verificações de variáveis, leitura e escrita fora dos limites de memória e cálculos incorretos no processamento de imagens.
As vulnerabilidades afetam tanto sistemas operacionais que ainda utilizam o servidor X11 nativo quanto distribuições modernas baseadas em Wayland, visto que o Xwayland compartilha o código original afetado para garantir a compatibilidade com aplicativos mais antigos.
Ameaça via hardware com EDID manipulado
Uma das correções mais relevantes documentadas no aviso de segurança envolve o processamento de hardware físico (CVE-2026-109091). O servidor Xorg registra informações de frequência fornecidas pelos monitores, os chamados descritores de Display-Range do EDID, e os insere em matrizes de tamanho fixo na memória.
A implementação vulnerável executava essa etapa sem validar se a quantidade de descritores fornecidos pelo hardware ultrapassava o limite máximo do software. Na prática, um monitor malicioso conectado à máquina ou um arquivo EDID manipulado fornecido pelo usuário poderia enviar descritores excedentes. Esse envio extra sobrescrevia campos adjacentes na memória do servidor, causando desde o travamento da interface gráfica até corrupções mais graves.
Estouros de inteiros nas extensões de sistema
A maior parte dos problemas corrigidos decorre de operações matemáticas que burlavam as travas de segurança do servidor X. Pesquisadores identificaram falhas envolvendo estouro de variáveis em arquiteturas de 32 bits e cálculos que aceitavam valores negativos.
Nas requisições da extensão XRes QueryClientIds (CVE-2026-109904) e QueryResourceBytes (CVE-2026-109094), o servidor multiplicava a quantidade de especificações pelo tamanho delas sem checar um possível limite matemático. Em servidores de 32 bits, se esse número final excedesse a capacidade da variável, a verificação de segurança passava e o código avançava sobre posições não autorizadas do buffer.
Na extensão de vídeo (Xv), as falhas CVE-2026-109096 e CVE-2026-109903 envolviam operações com retorno de valores negativos. Quando o sistema consultava os atributos de uma imagem e recebia um tamanho negativo incorreto, o servidor incorporava esse dado em vez de descartar a operação. A falha resulta na aprovação de envios de dados nulos pela rede ou induz softwares clientes a alocarem espaços de memória incorretos com base na resposta corrompida.
Havia também vulnerabilidades de lógica envolvendo a aceleração gráfica Glamor (CVE-2026-109095), onde larguras ou alturas extremas de imagens eram interpretadas como tamanhos positivos muito pequenos, e no recurso XTest (CVE-2026-109093), que copiava dados de entrada para uma área de memória da pilha antes de verificar se o tamanho da requisição estava dentro do limite aceitável.
Correção disponível
Todas as distribuições Linux que empacotam sessões X11 ou Wayland são afetadas até atualizarem os pacotes essenciais. A fundação estabeleceu que as vulnerabilidades estão mitigadas no X.Org Server a partir da compilação 21.1.26 e no Xwayland a partir da versão 24.1.15, bastando que os usuários apliquem as atualizações por meio de seus gerenciadores de pacotes.
