The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Обновление X.Org Server 21.1.22 с устранением 5 уязвимостей

15.04.2026 08:58 (MSK)

Опубликованы корректирующие выпуски X.Org Server 21.1.22 и DDX-компонента (Device-Dependent X) xwayland 24.1.10, обеспечивающего запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. В новых версиях устранены 5 уязвимостей. Некоторые уязвимости потенциально могут быть эксплуатированы для повышения привилегий в системах, в которых X-сервер выполняется с правами root, а также для удалённого выполнения кода в конфигурациях, в которых для доступа используется перенаправление сеанса X11 при помощи SSH.

Исправленные уязвимости:

  • CVE-2026-34001 - обращение к памяти после её освобождения (Use-after-free) в функции miSyncTriggerFence(). Уязвимость проявляется с выпуска xorg-server 1.9.0 (2010 год).
  • CVE-2026-33999 - целочисленное переполнение через нижнюю границу (underflow) в функции XkbSetCompatMap(), приводящее к чтению данных из области вне буфера при обработке специально оформленных запросов. Уязвимость проявляется с выпуска X11R6.6 (2001 год).
  • CVE-2026-34000 - чтение из области вне буфера в функции XkbAddGeomKeyAlias, вызванная отсутствием проверки соответствия размера переданного названия клавиши с выделенным буфером. Уязвимость проявляется с выпусков xorg-server 21.1.4 и xwayland 22.1.3 (2022 год).
  • CVE-2026-34002 - чтение из области вне буфера в функции CheckModifierMap() из-за отсутствия проверки соответствия числа указанных в запросе клавиш с фактическим числом переданных параметров. Уязвимость проявляется с выпуска X11R6.6 (2001 год).
  • CVE-2026-34003 - переполнение буфера в XKB-функции CheckKeyTypes(), приводящее к чтению данных из области вне буфера из-за отсутствия проверки соответствия размера буфера переданным в запросе данным. Уязвимость проявляется с выпуска X11R6.6 (2001 год).


  1. Главная ссылка к новости (https://lists.x.org/archives/x...)
  2. OpenNews: Обновление X.Org Server 21.1.20 с устранением 3 уязвимостей
  3. OpenNews: Проект XLibre интегрирует драйверы в основную ветку X-сервера
  4. OpenNews: Выпуск проекта XLibre XServer 25.1.0, развивающего форк X.Org Server
  5. OpenNews: Вышел X.Org Server 1.20
  6. OpenNews: Доступен X.Org Server 21.1
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/65210-xorg
Ключевые слова: xorg
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (62) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 09:33, 15/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    > Found by: Jan-Niklas Sohn working with TrendAI Zero Day Initiative.

    Спасибо нейросетям за спасение опенсорса. Серьёзно.

     
     
  • 2.3, Соль земли2 (?), 09:54, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    А как же спасибо Солнцу за восход? Ты хоть представляешь, что было бы через 24 часа, если бы Солнце не взошло?
     
  • 2.11, aname (ok), 10:21, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Да, нейросети- довольно полезная тема в определённых сценариях.
     
  • 2.12, Аноним (12), 10:21, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Спасибо нейросетям за спасение опенсорса. Серьёзно.

    Кстати, а куда смотрели тыщща глаз все это время?
    С 2001 была уйма времени

     
     
  • 3.47, Аноним (47), 11:41, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    с 2001 по 2008, а потом они все в вейленд побежали.
     
  • 3.65, Аноним (65), 12:53, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Что, всего 5 уязвимостей ?!!!
    По сравнению с 41 в Фаерфоксе это просто замечательное, хорошо оттестированное ПО!
     

  • 1.4, Аркагоблин (?), 09:59, 15/04/2026 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +3 +/
     
  • 1.5, Жироватт (ok), 10:10, 15/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Интересно, а очень долго и натужно хайповавшиеся в рунете pvs-studio (или как оно там?) уже перешло на эти общедоступные нейросети, или все ещё хорохорятся со своим набором эвристик для статанализа?
     
     
  • 2.6, A.Stahl (ok), 10:14, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я кстати регулярно вижу их в довольно малонаселённых уголках англоязычного интернета. Например в Lemmy.
     
  • 2.50, Аноним (50), 11:42, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    У них не эвристики, а вполне конкретная и чёткая логика. Вы привыкли к галюнам нейронок и теперь всё по ним меряете. Это поколение уже не спасти.
     

  • 1.7, Аноним (-), 10:15, 15/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –6 +/
    Всем 5 из 5 cve из-за проблем с м̶о̶з̶г̶а̶м̶и̶  памятью.
    Use-after-free, underflow, переполнение буфера, чтение из области вне буфера
    2001, 2010, 2022й...

    Сишники... Сишники никогда не меняются.
    Как диды в 80х писали мимо буфера, как менее дидовые диды обращались к освобожденной памяти в 2000х, так и их потомки в 2020х делают тоже самое!

    Вот она настоящая преемственность поколений!
    Одни и те же ошибки последние 50 лет.
    Это явно повод для гордости :)

     
     
  • 2.9, aname (ok), 10:19, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Как же ты рвёшься каждый раз. Уже только из- за этого стоит писать на C
     
  • 2.10, Аноним (10), 10:19, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +4 +/
    В отличие от твоего нытья всё это работало 50 лет на миллионах железок)
     
  • 2.54, Аноним (54), 11:53, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Как определить раcтoпеpдуна:
    Он начал писать про дидов и CVE на C/C++ только после широкого распространения раста. До него он не знал, что существуют языки, которые умеют безопасно работать с памятью.
     
     
  • 3.61, Аноним (61), 12:39, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Как определить шиза:
    он начал писать про раст в ответ на сообщение где раст не упоминался вот вообще, а только высмеивалось как дыpяшечники в очередной раз обделались.
    Но раст он решил приплести сразу, хотя сам же пишет что "существуют [другие] языки, которые умеют безопасно работать с памятью."
    Так чего вы на них не пишете?)) А пишете на дидовом мамонтячем?
     
  • 2.66, Другое имя (?), 12:59, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Приехал как-то внук к дедушке с бабушкой в деревню и всё им там переписал. И уехал, когда каникулы закончились.
     
     
  • 3.67, Аноним (67), 13:04, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Приехал как-то внук к дедушке с бабушкой в деревню и всё им там переписал

    И дом на себя переписал, и поле, и даже старый жигуль.

    > И уехал, когда каникулы закончились.

    И правильно, фигли там в деревне делать.

     
  • 2.70, Аноним83 (?), 13:07, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Оно как работало не падая так и дальше работает.
    Не вижу проблем.
     

  • 1.8, Аноним (12), 10:18, 15/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Причем они проверяли размер буфера!
    gitlab.freedesktop.org/xorg/xserver/-/commit/81b6a34f

    Но не смогли сделать это правильно, лол)))

    - if (!_XkbCheckRequestBounds(client, req, wire, wire + XkbKeyNameLength))
    + if (!_XkbCheckRequestBounds(client, req, wire, wire + 2 * XkbKeyNameLength))

     
     
  • 2.14, Аноним (14), 10:23, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >2 * XkbKeyNameLength

    чёт какая-то лажа, тут до байта известно хватит или нет

     
  • 2.52, Аноним (50), 11:44, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Помнится, кто-то смеялся над Энрико. А оказывается сами ни разу не лучше.
     
     
  • 3.60, Аноним (61), 12:29, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > Помнится, кто-то смеялся над Энрико.

    Ну... далеко не каждый разраб путает xor и pow :)
    Особенно когда он гордо пишет "Linux hacker and kernel maintainer"
    Так что его пинали вполне заслуженно.

    > А оказывается сами ни разу не лучше.

    Просто они не настощие сишники.
    Потому что Настощие Сишники™ никогда бы такую лажу не написали бы!

     

  • 1.13, Аноним (14), 10:21, 15/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Давно пора оживить иксы. Переключился тут на вейланд, расположение окон всё такое же глючное и бесячее. И фокус постоянно где-то не там оказывается. Но жёстких багов пока не было. Что забавно, хромоподелки требуют прописать --ozone-platform=x11 (не hint) или глючат, а с вулканом и вовсе отказываются работать. Пока набирал этот текст, курсор в тексте глючил и лагал. Видимо, всё ещё приходится запускать все программы в xwayland для нормальной работы, но тогда в браузере ускорение не работает или ещё что.
     
     
  • 2.15, Аноним (14), 10:26, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Неужели так сложно добавить логику, ведь известно, что окно НЕ ПОМЕСТИТСЯ на экране, зачем мне половину окна за границей монитора показывать? В иксах такого никогда не было.
     
     
  • 3.16, Аноним (14), 10:29, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –2 +/
    И кстати помещается, программы выставляют размер по размеру экрана. Только вейланд открывает по центру, а программа меняет размер на, скажем, полноэкранный и окно остаётся торчать на месте. Но любое изменение размера делает окно в правом нижнем углу. И логика открывать окна не по центру ещё хуже -- только в иксах нормально работает. Какой же этот вейланд бесячий.
     
  • 3.62, Аноним (62), 12:45, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > известно, что окно НЕ ПОМЕСТИТСЯ на экране, зачем мне половину окна за границей монитора показывать?

    Ты не понимаешь, в чём смысл вэйланда. Смысл выйланда - в работе с десятью мониторами, и чтобы все разного разрешения и разной частоты обновления, и при этом окна надо перетаскивать с минитора на монитор, а не держать на каком-то одном мониторе.

     
     
  • 4.63, Аноним (14), 12:49, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ну и будет у тебя половина окна на одном мониторе, половина на другом.
     
  • 2.17, Аноним (14), 10:31, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    А, ну и в иксах у меня окна браузера открывались на разных рабочих столах при запуске всегда, в вейланде всё в кучу на одном рабочем столе. Отвратительно.
     
     
  • 3.19, AleksK (ok), 10:36, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Я сморю никто так не страдает от wayland как вантузятники.
     
     
  • 4.20, Аноним (14), 10:39, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    При чём тут венда? У меня всегда иксы были и всё работало.
     
     
  • 5.22, AleksK (ok), 10:44, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > При чём тут венда? У меня всегда иксы были и всё работало.

    Ты описываешь какие-то баги wayland из головы или из очень древних версий. Признайся ты же тоже из этих "линукс на серверах винда на компах".

     
     
  • 6.24, Аноним (14), 10:49, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ты бредишь, у меня всё самое свежее и эти баги я вижу прямо сейчас. Сотню прошлогодних багов (не такое уж и древнее) я не перечисляю.
     
     
  • 7.38, AleksK (ok), 11:19, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Ты бредишь, у меня всё самое свежее и эти баги я вижу
    > прямо сейчас. Сотню прошлогодних багов (не такое уж и древнее) я
    > не перечисляю.

    Это ты бредишь. KDE 6.6.4 ни одного подобного бага, ах да у меня же AMD.

     
     
  • 8.42, Аноним (42), 11:24, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Если вы пытались доказать полезность амуде с помощью вяленда, то лучше придумать... текст свёрнут, показать
     
     
  • 9.43, AleksK (ok), 11:27, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Полезность AMD заключается в том что оно работает на линуксе в отличии от подело... текст свёрнут, показать
     
     
  • 10.64, Аноним (64), 12:50, 15/04/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 6.26, Аноним (14), 10:50, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    По поводу позиционирования окон, собираются что-то сделать с ним только к лету. В 6.7 плазме.
     
     
  • 7.37, AleksK (ok), 11:17, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –3 +/
    > По поводу позиционирования окон, собираются что-то сделать с ним только к лету.
    > В 6.7 плазме.

    Нафиг не нужно твое позиционирование окон. Окно или открывается в центре экрана или развернутое на весь экран. За несколько лет с wayland не видел ни одного бага с позиционированием окон.

     
     
  • 8.40, Аноним (40), 11:23, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    А вот и адепты мобилок набежали ... текст свёрнут, показать
     
     
  • 9.45, AleksK (ok), 11:32, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    У тебя экран 4 квадратных километра В чем сакральный смысл позиционирования нов... текст свёрнут, показать
     
     
  • 10.49, Аноним (14), 11:42, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    У тебя половина открытого окна не на экране, а тебе норм ... текст свёрнут, показать
     
     
  • 11.57, AleksK (ok), 12:05, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Какого окна ... текст свёрнут, показать
     
     
  • 12.58, Аноним (14), 12:09, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Любого окна, оконный менеджер попадание в границы видимой области не контролируе... текст свёрнут, показать
     
  • 8.44, Аноним (-), 11:27, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Я тебе даже сочувствую Ты пытаешься объяснить элементарные вещи дол-м, которые ... текст свёрнут, показать
     
     
  • 9.51, Аноним (14), 11:43, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Тонко, но не надо его поощрять ... текст свёрнут, показать
     
  • 2.18, AleksK (ok), 10:34, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Винтел+невидия? Сочувствую. На AMD прописал хромиуму эти флаги

    --enable-features=VaapiVideoDecodeLinuxGL,VaapiVideoEncoder
    --ignore-gpu-blocklist
    --enable-gpu-rasterization
    --enable-zero-copy
    --ozone-platform-hint=auto  

    И всё отлично работает на wayland даже vaapi.

     
     
  • 3.23, Аноним (14), 10:47, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    В прошлый раз пришлось добавить --disable-native-gpu-memory-buffers из-за глитчей. Если ты добавишь -vulkan к флагам, жалуется в логе, что только в иксах работает.
     
     
  • 4.39, AleksK (ok), 11:20, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > В прошлый раз пришлось добавить --disable-native-gpu-memory-buffers из-за глитчей. Если
    > ты добавишь -vulkan к флагам, жалуется в логе, что только в
    > иксах работает.

    Ну я же говорю винтел и невидия. Любители блобов от хуанга должны страдать.

     
  • 3.55, Аноним (54), 11:55, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ага, щас прям от CUDA и OptiX откажусь и сразу на вяленый убегу. Ну ты и клoун.
     
     
  • 4.69, Аноним (67), 13:06, 15/04/2026 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.25, Аноним (25), 10:49, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    От вяленого далеко не в восторге, но...

    > забавно, хромоподелки требуют прописать --ozone-platform=x11 (не hint) или глючат
    > Пока набирал этот текст, курсор в тексте глючил и лагал.

    А ты не пробовал обновляться? Ибо описываешь баги, которые у меня в начале 2025-ого года были... Но их давно уже нет.

     
     
  • 3.27, Аноним (14), 10:52, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    У меня всё самое свежее. Всё как было так и есть.
     
     
  • 4.29, Аноним (25), 10:53, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > У меня всё самое свежее

    Как на рынке прям...

     
     
  • 5.30, Аноним (14), 10:58, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Ну свежее только из мастера собирать, но это только в крайних случаях и одни проблемы исправит других добавит. Какая разница, если если ещё до лета-осени ждать добавления базовой функциональности? На 20 год существования вейланда додумались, что не плохо бы позиционирование окон добавить.
     
  • 2.31, Аноним (14), 11:01, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Вот щас пытался скопировать выделенный текст, он вроде копируется, но не вставляется в консоль хромиума. Вот и запускай программы в xwayland после этого.
     
  • 2.48, ryoken (ok), 11:41, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >> Что забавно, хромоподелки требуют прописать --ozone-platform=x11 (не hint) или глючат, а с вулканом и вовсе отказываются работать.

    Как вы этого добились? Дома гента + RadeonVII. Кеды с вейландом (уже забыл когда пересел). А, ну только хроподелок 2 - ХромеДев бинарный на опыты (крайне редко трогаю) и Falkon (qtwebengine). Ничего похожего и рядом не наблюдается.

     
     
  • 3.53, Аноним (14), 11:46, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Конкретно глитчи были когда открывалось видео и включено ускорение (я написал это из-за native-buffers). Но вулкан только в иксах работает по мнению разработчиков, поэтому оставьте свои фантазии о "работает".
     
  • 2.68, Аноним (68), 13:05, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    >Давно пора оживить иксы. Переключился тут на вейланд...

    Давно пора перестать врать. Переключился тут на вайланд в начале года, никаких флагов в ungoogled-chromium (141.0.7390.65) не активировал, никаких глюков, лагов и прочего не замечено.

     

  • 1.33, Аноним (33), 11:08, 15/04/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    И зачем нам эта вечно дырявая libinput, когда программы могут работать напрямую с идеальным, проверенным временем XKB (X Kitten Butcher)
     
     
  • 2.35, Аноним (35), 11:14, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    > с идеальным, проверенным временем XKB

    CVE-2026-34002 - out-of-bounds reads
    CVE-2025-62230 - use-after-free
    CVE-2025-62231 - overflow, causing memory corruption
    CVE-2023-6377 - privilege escalation
    CVE-2023-0494 - use-after-free
    ...

    Такое же дырявое сишное д-мо.


     
  • 2.56, Аноним (54), 11:56, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Кстати, а если, например, не хочу пользоваться XKB на Иксах (сами там причину придумайте), что-то есть на замену XKB?
     
  • 2.59, Аноним (59), 12:29, 15/04/2026 [^] [^^] [^^^] [ответить]  
  • +/
    Тогда уж evdev.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2026 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру