Im X.org X11-Server und Xwayland wurden mehrere Sicherheitslücken entdeckt. Sie ermöglichen Angreifern unter Umständen etwa das Einschleusen und Ausführen von Schadcode. Die großen Linux-Distributionen verteilen bereits aktualisierte Pakete.
Anzeige
Der Entdecker der Lücken, Jan-Niklas Sohn, hat laut Ubuntu die acht Schwachstellen gemeldet. Als Zusammenfassung schreiben die Ubuntu-Maintainer, dass der X.org X-Server bestimmte Speicher-Operationen nicht korrekt gehandhabt hat: "Angreifer können diese Probleme nutzen, um den X-Server zum Absturz zu bringen, was in einen Denial-of-Service mündet, oder möglicherweise beliebigen Code ausführen." Wie solche Angriffe genauer aussehen könnten und sich erkennen ließen, erörtern die Autoren der Sicherheitsmitteilung jedoch nicht.
Ubuntu verteilt bereits aktualisierte Pakete, für Ubuntu 20.04, 22.04, 24.04 und 24.10. Nach der Installation der Updates sollen Betroffene die Systeme neu starten, um die nötigen Änderungen vornehmen zu lassen. Redhat hat ebenfalls Updates im Programm. Zum Meldungszeitpunkt scheint SUSE noch an aktualisierten Paketen zu arbeiten, auf der Debian "Security-Announce"-Mailingliste finden sich im Februar ebenfalls noch keine Hinweise auf Updates. Diese dürften jedoch in Kürze erscheinen. Admins sollten sie bei Verfügbarkeit zügig anwenden, sofern der X.Org-Server und Xwayland etwa aus Kompatibilitätsgründen noch auf den Systemen installiert sind.
Die Sicherheitslücken im Einzelnen:
A use-after-free flaw was found in X.Org and Xwayland CVE-2025-26594, CVSS 7.8, Risiko "hoch"A buffer overflow flaw was found in X.Org and Xwayland CVE-2025-26595, CVSS 7.8, hochA heap overflow flaw was found in X.Org and Xwayland CVE-2025-26596, CVSS 7.8, hochA buffer overflow flaw was found in X.Org and Xwayland CVE-2025-26597, CVSS 7.8, hochAn out-of-bounds write flaw was found in X.Org and Xwayland CVE-2025-26598, CVSS 7.8, hochAn access to an uninitialized pointer flaw was found in X.Org and Xwayland CVE-2025-26599, CVSS 7.8, hochA use-after-free flaw was found in X.Org and Xwayland CVE-2025-26600, CVSS 7.8, hochA use-after-free flaw was found in X.Org and Xwayland CVE-2025-26601, CVSS 7.8, hoch
(
Kommentare