X.Org X Server und XWayland: Doppelte Freigabe in XKB SetGeometry
Zusammenfassung
Eine doppelte Freigabe (CWE-415) im Code für XKB SetGeometry des X.Org X Server und von XWayland erlaubt einem lokal verbundenen Client, den Display-Server zum Absturz zu bringen oder möglicherweise Code im Kontext des X-Servers auszuführen. Der Angreifer benötigt eine gültige lokale Sitzung, die das X- beziehungsweise XWayland-Display erreichen kann, daher ist die Lücke nicht direkt aus dem Internet erreichbar. Headless-Server ohne grafische Sitzungen oder X11-Weiterleitung sind in der Praxis nicht betroffen.
Betroffen
- X.Org X Server vor 21.1.25
- XWayland vor 24.1.14
- Linux-Distributionspakete (zum Beispiel xorg-x11-server, xwayland), die auf diesen Versionen basieren. Red Hat führt RHEL 9 und 10 Xwayland als betroffen auf.
Behoben in
- X.Org X Server 21.1.25 und neuer
- XWayland 24.1.14 und neuer
- Distributionsspezifische Paketversionen mit Korrektur: Unbekannt. Prüfen Sie die Advisory Ihres Herstellers für die genauen Paketstände.
Umgehung
- Auf Servern, die keine grafische Oberfläche benötigen, den grafischen Display-Manager deaktivieren oder die optionalen X11-/Xwayland-Pakete entfernen.
- Für Systeme, die X weiterhin betreiben müssen, ist kein weiterer vom Hersteller empfohlener Workaround bekannt. Das Einspielen von Updates ist die praktische Massnahme.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- Nicht im Katalog CISA KEV aufgeführt.
- Derzeit ist kein öffentlich bestätigter Proof-of-Concept-Exploit bekannt.
- EPSS: 0.19 % (Perzentil 8).
Unsere Empfehlung
- Linux-Hosts mit X.Org X Server oder XWayland identifizieren, insbesondere Multi-User-Terminalserver, gemeinsam genutzte Jump-Hosts mit X11-Weiterleitung und privilegierte Xorg-Installationen.
- Herstellerupdates für xorg-x11-server und xwayland auf gemeinsam genutzten oder privilegierten Hosts so rasch wie möglich, auf Linux-Arbeitsstationen im normalen Zyklus einspielen.
- X11-/Xwayland-Pakete auf Headless-Servern entfernen, sofern sie nicht benötigt werden.
- Herstellermeldungen auf aktualisierte Paketstände überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-88812 access.redhat.com
- X.Org Security Advisories www.x.org
- Upstream fix commit 0d1b1b0b (GitLab) gitlab.freedesktop.org
- SUSE CVE record via Vulners vulners.com
- OpenCVE CVE-2026-88812 app.opencve.io
- OffSeq Radar: XWayland security update radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.