X.Org Server und XWayland: Heap-Buffer-Overflow in XIPassiveUngrabDevice

Zusammenfassung

Ein Heap-Buffer-Overflow in X.Org X Server und XWayland, ausgelöst durch eine XIPassiveUngrabDevice-Anfrage mit einem ausserhalb des gültigen Bereichs liegenden Modifier-Wert, kann von einem authentifizierten lokalen X-Client ausgenutzt werden. Erfolgreiche Ausnutzung kann den X-Server zum Absturz bringen oder möglicherweise Code im Kontext des X-Servers ausführen. ZDI beschreibt die Auswirkung als Rechteerweiterung zu root, während Red Hat die Auswirkung auf root auf veraltete, als root laufende X-Server beschränkt. Der Angreifer benötigt zuerst eine Codeausführung mit niedrigen Privilegien auf dem Zielsystem; es handelt sich nicht um eine Schwachstelle aus dem Internet.

Betroffen

• X.Org X Server (xorg-server / xorg-x11-server) vor 21.1.25 (gemäss SUSE-CNA-Eintrag und vom Hersteller verlinkten Quellen)
• XWayland vor 24.1.14
• Hinweis: Die CVE-Beschreibung nennt 'vor 21.1.15', was im Widerspruch zur Version 21.1.25 steht, die andere Quellen angeben.
• Distributionspakete: Die genaue Paketversion ist im Tracker des jeweiligen Herstellers zu prüfen (Red Hat: RHSA-2026:85191).

Behoben in

• X.Org X Server 21.1.25 oder neuer
• XWayland 24.1.14 oder neuer
• Fix-Commit: 37a1847a60c6799aecf163a5cfa40077a9002675
• Distributionen können Fixes mit abweichenden Paketversionen ausliefern.

Umgehung

• Vom Hersteller ist kein Workaround verfügbar; Red Hat gibt an, dass die aktuell verfügbaren Massnahmen seine Kriterien nicht erfüllen.
• X-Server-Pakete auf Headless-Servern entfernen, die keine grafische Umgebung betreiben.
• X-Server nicht als root betreiben.

Ausnutzung

• In freier Wildbahn: Unbekannt. Nicht im CISA-KEV-Katalog aufgeführt.
• Öffentliche Bekanntgabe: ZDI-Advisory ZDI-26-768, veröffentlicht am 15. Oktober 2026.
• Proof of Concept: Im Rahmen der Recherche wurde kein öffentlicher PoC oder Exploit gefunden.
• Voraussetzung: Der Angreifer muss bereits Code mit niedrigen Privilegien auf dem Zielsystem ausführen können.

Unsere Empfehlung

• Linux-Systeme mit X-Server oder XWayland inventarisieren und prüfen, ob grafische Sitzungen oder X-Forwarding genutzt werden.
• X.Org Server auf 21.1.25 oder XWayland auf 24.1.14 aktualisieren oder den gefixten Build der Distribution installieren.
• X-Pakete auf Headless-Servern entfernen, sofern sie nicht benötigt werden.
• Mehrbenutzersysteme, Terminalserver, Jump Hosts und Hosts, auf denen der X-Server als root läuft, priorisieren.
• Die übrigen X.Org-Fixes aus dem Oktober-2026-Release gleichzeitig installieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit (GitLab X.Org) gitlab.freedesktop.org
• Red Hat CVE record access.redhat.com
• Red Hat errata RHSA-2026:85191 access.redhat.com
• Zero Day Initiative ZDI-26-768 www.zerodayinitiative.com
• 9to5Linux release report 9to5linux.com
• GamingOnLinux release report www.gamingonlinux.com
• Help Net Security overview www.helpnetsecurity.com
• OSV Azure Linux AZL-111464 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:44.