Megjelent az X.Org Server 21.1.26 és az Xwayland 24.1.15, amelyek több súlyos sérülékenységet javítanak. A feltárt hibák egy része a megjelenítőkiszolgáló összeomlásához, a memóriában tárolt adatok sérüléséhez vagy illetéktelen hozzáféréséhez vezethet. A fejlesztők ezért a frissítések mielőbbi telepítését javasolják.
Az X.Org fejlesztői november 10-én új biztonsági frissítéseket adtak ki az X11-alapú grafikus környezetekben használt X.Org Serverhez, valamint a Wayland alatt az X11-alkalmazások futtatását biztosító Xwaylandhez. A két kiadás összesen nyolc, CVE-azonosítóval nyilvántartott sérülékenység javítását tartalmazza, amelyek közül több a memóriakezelés és a beérkező kérések ellenőrzésének hiányosságaiból ered.
Az egyik, CVE-2026-109091 azonosítón nyilvántartott sérülékenység az X.Org Server monitorazonosítási adatainak (EDID) feldolgozását érinti. A hiba speciálisan módosított EDID-adatokkal kihasználható, mivel a kiszolgáló nem ellenőrizte megfelelően a kapott adatok mennyiségét. Ez a memóriahatárok túllépéséhez, a tárolt adatok sérüléséhez vagy a megjelenítőkiszolgáló összeomlásához vezethetett.
A CVE-2026-109092 sérülékenység az XvShmPutImage függvény megosztottmemória-kezelésében található memória túlcsordulást szünteti meg. A hiba megfelelően kialakított bemeneti adatokkal megkerülhetővé tette a memóriahatárok ellenőrzését, ami érvénytelen memóriaterületek olvasását vagy írását eredményezhette. Hasonló veszélyeket rejt a CVE-2026-109093 számú sérülékenység, amely az XTestFakeInput függvényben okozhatott veremmemória-túlírást, és ezáltal a megjelenítőkiszolgáló összeomlását vagy a memóriatartalom sérülését idézhetett elő.
Két további sérülékenység az XRes kiterjesztést érinti. A CVE-2026-109904 és a CVE-2026-109094 azonosítószámon nyilvántartott sérülékenységek egészszám-túlcsordulási hibák miatt 32 bites rendszereken lehetővé tehette a hibás méretű kérések elfogadását. Ez a memóriaterületek határon túli olvasását, a memóriatartalom sérülését vagy a kiszolgáló összeomlását okozhatta.
A fejlesztők kijavították a CVE-2026-109095 sérülékenységet is, amely a glamor grafikus gyorsítás NV12 és YV12 képformátumokhoz kapcsolódó méretszámításaiban jelentkezett. Nagyméretű képek feldolgozásakor az egészszám-túlcsordulás hibás memóriaméretet eredményezhetett, lehetővé téve a kijelölt memóriaterületen túli olvasást.
A fennmaradó két sérülékenység, a CVE-2026-109096 és a CVE-2026-109903 számúak az Xv képkezelő függvényeit érintik. Az előbbi hibásan ellenőrzött képméretekkel lehetővé tehette hiányos képadatokat tartalmazó kérések feldolgozását, míg az utóbbi érvénytelen memóriaméretet közölhetett a kliensalkalmazásokkal, ami további memóriakezelési problémákat okozhatott.
A novemberi javítások nemcsak a hagyományos X11-munkameneteket használó rendszerek számára fontosak. Az Xwayland ugyanis a Wayland-alapú asztali környezetekben is biztosítja a régebbi X11-alkalmazások kompatibilitását, így a sérülékenységek egy része ezeket a rendszereket is érintheti.
A fejlesztők azt javasolják, hogy a Linux-felhasználók mielőbb telepítsék az X.Org Server 21.1.26 és az Xwayland 24.1.15 frissítéseket, amint azok megjelennek a disztribúciójuk hivatalos csomagtárolóiban. A sérülékenységek részletes technikai leírása az X.Org november 10-én megjelent biztonsági közleményében olvasható.
