X.Org Server und Xwayland: Heap-basierter Pufferüberlauf in GLX-RenderLarge-Verarbeitung
Zusammenfassung
Ein Heap-basierter Pufferüberlauf in der Verarbeitung der GLX-RenderLarge-Anfragen des X.Org X-Servers und von Xwayland erlaubt einem lokalen Angreifer, den X-Server zum Absturz zu bringen oder Code im Kontext des X-Servers auszuführen. Der Angreifer benötigt einen authentifizierten lokalen X-Client mit einer aktiven Sitzung auf dem Display-Server. Headless-Server ohne grafische Sitzung sind nicht betroffen. Der CVSS-4.0-Wert beträgt 8.5 (hoch), der Angriffsvektor ist jedoch lokal, und es wurden weder ein öffentlicher Proof of Concept noch eine bestätigte Ausnutzung gefunden.
Betroffen
- xorg-x11-server (X.Org Server) vor 21.1.25
- Xwayland vor 24.1.14
Behoben in
- xorg-x11-server 21.1.25
- Xwayland 24.1.14
- Zurückportierte Fixes können unter distributionsspezifischen Paketversionen erscheinen; prüfen Sie den Advisory Ihrer Distribution.
Umgehung
Kein vom Hersteller dokumentierter Workaround. Das Patchen ist die empfohlene Massnahme.
Reduzieren Sie die Exposition, indem Sie lokale Sitzungen auf gemeinsam genutzten Systemen einschränken und auf Headless-Servern weder X noch Xwayland betreiben.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog gelistet.
- Der Finder wird als Anonymous in Zusammenarbeit mit ZDI (ZDI-CAN-31833) geführt.
Unsere Empfehlung
- Aktualisieren Sie xorg-server und Xwayland über Ihre Linux-Distribution, zuerst auf Mehrbenutzer-Desktops und Jump-Hosts.
- Spielen Sie CVE-2026-93517 zusammen mit den anderen X.Org-Schwachstellen ein, die im selben Release behoben wurden.
- Headless-Server können im normalen Update-Zyklus gepatcht werden.
- Prüfen Sie die NVD- und CNA-Einträge auf CWE und Veröffentlichungsdatum, da sich diese zwischen den Quellen unterscheiden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- X.Org Security Advisories www.x.org
- Fix commit (GitLab) gitlab.freedesktop.org
- Red Hat CVE page access.redhat.com
- Red Hat erratum RHSA-2026:86907 access.redhat.com
- GamingOnLinux release report www.gamingonlinux.com
- OffSeq threat page radar.offseq.com
- OpenCVE entry app.opencve.io
- Strix CVE mirror www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.