したがって、ALAS2023-2026-3260 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    xkb/xkb.c の CheckSetDoodad() は、エラーの際に doodad->text.text を解放しますが、ポインターを NULL にしません。エラーパスが継続する場合、クリーンアップ中に _XkbClearDoodad() が呼び出され、同じポインターを再度解放することで、二重解放が発生します。認証された X クライアントが、細工された XkbSetGeometry リクエストを無効な形式の TextDoodad エントリで送信することで、これを発生させる可能性があります。これにより、初期エラーパスが取得されます。

    二重解放により、ヒープの破損が発生する可能性があり、任意のコードの実行またはサービス拒否(クラッシュ)が可能になる可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/c724006ee76fb002add50fcb4d97e8c96c279f09 (xorg-server-21.1.25)(CVE-2026-88812)

    Present_clear_window_notifies() は、window_privを解放する前に、ウィンドウごとのリストからの通知エントリのリンクを解除しません。その後、ウィンドウが破棄または再使用されると、古いリストエントリがトラバースされ、use-after-free が発生します。

    認証された X クライアントが、クロスウィンドウの Present 通知を作成してからターゲットウィンドウを破棄することで、これを発生させる可能性があります。Present 拡張と SYNC 拡張の両方を有効にする必要があります (デフォルト)。メモリ解放後使用(Use After Free)は、サービス拒否(クラッシュ)または情報漏えいを引き起こす可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/a469f98bcfab50dab607ff5ac24037632b0079a3 (xorg-server-21.1.25)(CVE-2026-93515)

    XInput パッシブグラブ修飾子デバイスの use-after-free

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/9442a53c137bb9eb61336c6fd39627912d50cc8d (xorg-server-21.1.25)(CVE-2026-93516)

    GLX RenderLarge リクエスト処理では、バッファは cmdlen のサイズに割り当てられますが、後続の memcpy は dataBytes をその中にコピーします。dataBytes が cmdlen 以下であるという検証が行われないため、攻撃者は、割り当てられたバッファの終端を超えて書き込むことができます。

    認証された X クライアントが、細工された GLX RenderLarge リクエストを送信することでこれをトリガーし、dataBytes が cmdlen を超えてヒープバッファオーバーフローを発生させる可能性があります。ヒープバッファオーバーフローにより、任意のコードの実行またはサービス拒否が発生する可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/3961cdca467975a7d377f1f7bcd55d52eb3f417a (xorg-server-21.1.25)(CVE-2026-93517)

    XkbResizeKeyType() で、size_syms 変数は符号なし short として宣言されます。式 (nTotal * 15) / 10 は、大きな nTotal 値に対して 65535 を超える可能性があり、符号なしの短い変数に代入されると結果が切り捨てられます。これにより、サイズ過小の割り当てが発生し、その後の書き込みでヒープバッファがオーバーフローします。

    認証された X クライアントが、十分に大きい nTotal 値でキータイプのサイズ変更を引き起こす XKB リクエストを送信することで、これを発生させる可能性があります。切り捨てられた割り当てに起因するヒープバッファオーバーフローにより、任意のコードの実行やサービス拒否が発生する可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/558ba8f784b0f5d4d96948051b2f04c983af20cc (xorg-server-21.1.25)(CVE-2026-93518)

    Input_constrain_cursor() はバリアイベントを、境界をチェックせずに固定サイズのバッファに書き込みます。100を超えるポインターバリアがアクティブな場合、書き込みがスタックまたはヒープ上の固定バッファをオーバーフローします。認証された X クライアントが、(XFIXES 拡張を使用して)100 を超えるポインターバリアを作成し、続いて(XTEST などを介して)ポインターモーションイベントを生成することで、これを発生させる可能性があります。両方の拡張機能は、デフォルトで有効になっています。

    バッファオーバーフローにより、任意のコードの実行やサービス拒否が発生する可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/9c3880d0745acefc98ed37e79498dfbe558a0f40 (xorg-server-21.1.25)(CVE-2026-93519)

    PrependMode を伴う RRChangeProviderProperty() では、new_value.size が total_len ではなく len に設定されます。
    さらに、old_dataオフセットの計算では、既存のデータのmemcpyにlenの代わりにprop_value->sizeが使用されます。これにより、プロパティデータをプリペンドする際に、バッファがサイズが小さく、コピーオフセットが不適切であるため、ヒープバッファオーバーフローが発生します。

    これは、RRChangeOutputProperty で以前修正されたが、プロバイダープロパティパスに適用されていなかったバグパターンを反映しています。

    認証された X クライアントが、RandR プロバイダー(最新の GPU の標準)を備えたシステムの PrependMode で RandR ChangeProviderProperty リクエストを送信することにより、これを発生させる可能性があります。ヒープバッファオーバーフローにより、任意のコードの実行またはサービス拒否が発生する可能性があります。修正済み:xorg-server-21.1.25 および xwayland-24.1.14Fix:
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/5dc9efd5a199 (CVE-2026-93521)

    XI2 パッシブアングラブパス(XIPassiveUngrabDevice)には、グラブパスおよびレガシー XI パスに存在する修飾子検証がありません。AllModifiersMask をチェックしない場合、クライアントは範囲外の修飾子値を指定し、修飾子がインデックスとして使用されると範囲外書き込みを引き起こす可能性があります。

    認証された X クライアントが、範囲外の修飾子値を含む XIPassiveUngrabDevice リクエストを送信することで、これを発生させる可能性があります。領域外書き込みにより、任意のコードの実行またはサービス拒否が引き起こされる可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/aa56160fa213d8767e7da0c076b5c8242703313b (xorg-server-21.1.25)(CVE-2026-93523)

    xkb/xkb.c の CheckKeySyms() は、SetMap リクエスト範囲内のキーに対して、symsPerKey[] 検証配列に新しいキー幅を設定してから、範囲を超えるキーのエントリを入力し続けます。ただし、2番目のループは、i = firstKeySym + nKeySymsではなく、index i = nKeySyms(最初のループのカウンター)で始まります。firstKeySymが大きくnKeySymsが小さい場合、2番目のループはsymsPerKey[target]を既存のマップの古い幅で上書きします。

    次に CheckKeyActions() は、古いワイヤアクションのカウントを古い幅に対して検証し、それを受け入れます。で
    _XkbSetMap())、SetKeySyms() はキーを広げますが(アクションを nGroups * newWidth にサイズ変更します)、その後 SetKeyActions() は再び古いカウントにサイズ変更します。後続の XkbGetMap リクエストが、短いアクション割り当てから(新しい広い key_sym_map.width から派生した)XkbKeyNumActions() エントリを読み取り、領域外ヒープ読み取りを引き起こします。オーバーリードバイトは GetMap 返信にコピーされ、リクエスト側クライアントに送り返されると、バインドヒープ情報漏洩が発生します。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/927ee1282d21550807619521bee909ef62ed0571 (xorg-server-21.1.25)(CVE-2026-93524)

    GestureBuildSprite() は、参照カウントや有効期間管理を行わずに、生の WindowPtr 値を CopySprite() を介してジェスチャー スプライト トレースにコピーします。WindowGone() は、ウィンドウが破壊された場合にのみタッチスプライトのトレースを修復します -- ジェスチャーのスプライトのトレースはチェックも消去もされません。これにより、ジェスチャースプライトに古いWindowPtr参照が残ります。

    DeliverOneGestureEvent() が後に DeepestSpriteWin(&gi->sprite)->drawable.id を介して古い WindowPtr を逆参照すると、use-after-free が生成されます。解放された 4 バイト(drawable.id)はリードバックでき、解放されたメモリ領域のコンテンツに関する情報が漏洩する可能性があります。

    注意: 以下により https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: が修正されました
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/4c9c345d2a10baf956fdefa83bb88681f7c840cf (xorg-server-21.1.25)(CVE-2026-93536)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : xorg-x11-server-common、xorg-x11-server-devel、xorg-x11-server-source (ALAS2023-2026-3260)

high Nessus プラグイン ID 371867

バージョン 1.4