Red Hat セキュリティアドバイザリ 2012:0939 から：

2つのセキュリティ問題および複数のバグを修正する更新版の xorg-x11-server パッケージが Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響は小さいと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

X.Org は、X Window System のオープンソース実装です。これは本格的なグラフィカルユーザーインターフェイスのデザインの基盤となった基本的な低レベルの機能を提供します。

X.Org サーバーがロックファイルを処理する方法で、欠陥が見つかりました。システムコンソールにアクセスできるローカルのユーザーが、この欠陥を利用して、シンボリックリンク攻撃で、そのユーザーがアクセスできないディレクトリにあるファイルの有無を判断することが可能です。(CVE-2011-4028)

競合状態が、X.Org サーバーが一時ロックファイルを管理する方法で見つかりました。ローカルの攻撃者は、この欠陥を悪用して、シンボリックリンク攻撃を仕掛け、任意のファイルを世界中で読み込み可能にして、機密情報の漏洩を引き起こす可能性があります。
(CVE-2011-4029)

Red Hat は、これらの問題を報告してくれた vladz というニックネームの研究者に感謝の意を表します。

この更新は以下のバグも修正します：

* この更新前には、KDE Display Manager（KDM）は、無効な 24bpp pixmap フォーマットを X サーバーにパスすることができました。その結果、X サーバーは予想外に中止する可能性がありました。この更新では、正しいフォーマットをパスするように規定コードを修正します。（BZ#651934、BZ#722860）

* この更新前には、グラフィックタブレットのスタイラスなどの絶対入力デバイスは、 X サーバーが、xorg.conf ファイルの複数の‘デバイス’セクションを介して、複数画面セットアップとして設定されれば、右上または再下部の画面で応答不可になる可能性がありました。この更新では、絶対デバイスがすべての画面で常にマッピングされるように、画面横断挙動を変更します。（BZ#732467）

* この更新前は、間違ったメッセージ‘セッションが有効、禁止ではなく、画面アイドル。このテストを確認すると、お使いのディスプレイサーバーは破損していますので、ディストリビューターに通知してくださいというメッセージが、システム再開後または表示の再有効化した後に表示されることがあり、外部 Web ページへの URL が含まれる可能性がありました。この更新で、このメッセージは削除されます。
（BZ#748704）

* この更新前には、Xephyr サーバーの誤った入力処理コードによって、画面横断時に画面が無効化されました。フォーカスは、マウスが置かれた画面上に限定され、この画面は、Xephyr ネスト化した X サーバーが複数画面セットアップに設定された場合にのみ更新されました。この更新では、このコードを削除し、Xephyr は複数画面セットアップで、画面を正常に更新できるようになりました。（BZ#757792）

* この更新の前は、RAW イベントに相対軸の値が含まれていませんでした。その結果、機能の相対値に依存しているクライアントは、期待通りの挙動をしませんでした。この更新では、すでに変換した値の代わりに、元のドライバーの値を設定します。
現在、生のイベントには、期待通りの相対軸値が含まれます。（BZ#805377）

xorg-x11-server の全ユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を修正することが推奨されます。この更新を有効にするには、全ての実行中の X.Org サーバーは再起動する必要があります。

検出

Oracle Linux 6：xorg-x11-server（ELSA-2012-0939）

low Nessus プラグイン ID 68561

変更ログが見つかりません