X.Org Server/Xwayland: Heap-Pufferüberlauf in Glamor CopyArea

Zusammenfassung

Ein Heap-Pufferüberlauf im Glamor-CopyArea-Pfad (CPU-zu-FBO) von X.Org Server und Xwayland erlaubt einem authentifizierten X-Client, den X-Server zum Absturz zu bringen oder möglicherweise Code im Kontext des X-Servers auszuführen. Ausgelöst wird der Fehler durch eine CopyArea-Operation mit nicht übereinstimmenden Grössen auf einem System mit GPU-Beschleunigung. Für die Ausnutzung benötigt ein Angreifer bereits lokale Codeausführung mit niedrigen Rechten, daher ist die Lücke nicht aus dem Internet ausnutzbar. Die Zero Day Initiative gibt an, dass das Advisory Codeausführung im Root-Kontext beschreibt; der Hersteller bzw. CNA nennt nur die mögliche Codeausführung, die Root-Angabe ist daher unbestätigt.

Betroffen

• Xwayland: 9 bis vor 24.1.14 (CNA-Eintrag)
• X.Org Server (xorg-x11-server): vor 21.1.25 laut CNA-Eintrag; Help Net Security und LinuxSecurity nennen nur Xwayland, daher ist der Status des X.Org Server unklar
• Der CVE-Text nennt 'vor 21.1.15' für den X.Org Server; dies passt nicht zur Korrekturversion und konnte nicht bestätigt werden

Behoben in

• Xwayland 24.1.14
• X.Org Server 21.1.25 (veröffentlicht am 7. Oktober 2026)
• Fix-Commit: ad26c26bf795e6464f74c8ef5bb1d41403d877ab

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme.
• Auf gemeinsam genutzten Mehrbenutzersystemen die Nutzung von Xwayland einschränken, wo keine X11-Anwendungen benötigt werden (eigene Empfehlung, nicht aus einer Quelle).

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher PoC erkannt (TheHackerWire); dies wurde nicht durch eine Suche auf GitHub oder Exploit-DB verifiziert.
• Gemeldet von der Zero Day Initiative (ZDI-CAN-32361, ZDI-26-767); öffentlich veröffentlicht am 15. Oktober 2026.

Unsere Empfehlung

• Xwayland auf 24.1.14 oder ein Distributionspaket mit dem Fix aktualisieren; X.Org Server auf 21.1.25 oder das korrigierte Distributionspaket aktualisieren.
• Gemeinsam genutzte Linux-Hosts und Terminalserver mit grafischen Sitzungen priorisieren; mittlere Priorität für typische Linux-Arbeitsstationen.
• Den Sicherheitstracker der eigenen Distribution prüfen, zum Beispiel Red Hat RHSA-2026:85191 für RHEL 10.
• Windows- und macOS-Systeme sind nicht betroffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• X.Org Security Advisories www.x.org
• Zero Day Initiative ZDI-26-767 www.zerodayinitiative.com
• Fix commit (GitLab xserver) gitlab.freedesktop.org
• Red Hat RHSA-2026:85191 access.redhat.com
• Help Net Security: X.Org server fixed vulnerabilities www.helpnetsecurity.com
• Phoronix: X.Org 12 new issues www.phoronix.com
• GamingOnLinux: xorg-server 21.1.25 and Xwayland 24.1.14 released www.gamingonlinux.com
• LinuxSecurity: Xorg/Xwayland security fixes linuxsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:52.