セキュリティ問題を修正する新しいxorg-serverパッケージが、Slackware 13.0、13.1、13.37、14.0、14.1、14.2、および最新版で利用可能です。

このxorg-x11-serverの更新では、次の修正が提供されます：

  - CVE-2017-10971: クライアントによるスタックオーバーフローを防止するため、GenericEventのエンディアン処理を修正します。（bnc#1035283）

  - ProcXSendExtensionEventにより送信されるすべてのイベントのタイプが、許容範囲内であるようにします。

  - CVE-2017-10972: 情報漏洩を回避するため、xEvent eventTをゼロで初期化します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

X.org Xサーバーで2つのセキュリティの問題が発見されました。これによって、権限昇格または情報漏洩が発生する可能性があります。

このxorg-x11-serverの更新では、次のセキュリティ問題が修正されます：

  - CVE-2017-10971: クライアントによるスタックオーバーフローを防止するため、GenericEventのエンディアン処理を修正します。（bnc#1035283）

  - ProcXSendExtensionEventにより送信されるすべてのイベントのタイプが、許容範囲内であるようにします。

  - CVE-2017-10972: 情報漏洩を回避するため、xEvent eventTをゼロで初期化します。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このxorg-x11-serverの更新では、次のセキュリティ問題が修正されます：

  - CVE-2017-10971: クライアントによるスタックオーバーフローを防止するため、GenericEventのエンディアン処理を修正します。（bnc#1035283）

  - ProcXSendExtensionEventにより送信されるすべてのイベントのタイプが、許容範囲内であるようにします。

  - CVE-2017-10972: 情報漏洩を回避するため、xEvent eventTをゼロで初期化します。

  - ランダム認証Cookieを生成するためのエントロピーの取得を改善します（boo#1025084）

xorg-server 開発者による報告：

2017年6月19日より前のX.Org Xサーバーは、Xセッションに対して認証されたユーザーが、Xイベントのエンディアン変換におけるスタックオーバーフローを悪用することによって、Xサーバーのコンテキストでクラッシュさせたり、コードを実行したりする可能性がありました。

2017年6月19日より前のX.Org X サーバーのXイベント処理でのエンディアン変換で初期化されていないデータを使用すれば、認証された悪意のあるユーザーは、Xサーバーから潜在的に権限のあるデータにアクセスすることができます。

CVE-2017-10971

        Xセッションで認証されたユーザーが、Xイベントのエンディアン変換のスタックオーバーフローを悪用することで、Xサーバーのコンテキストでコードをクラッシュしたり実行したりする可能性があります。

CVE-2017-10972

        X.Org X ServerのXEvent処理におけるエンディアン変換の初期化されていないデータにより、認証された悪意のあるユーザーが、Xサーバーから権限のあるデータにアクセスする可能性があります。 

Debian 7「Wheezy」では、これらの問題はバージョン2:1.12.4-6+deb7u7で修正されています。

お使いのxorg-serverパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

X.Org Xサーバーが特定のX eventsのエンディアン変換を不適切に処理することがわかりました。ローカルまたはリモートで X サーバーに接続できる攻撃者がこの問題を利用して管理者として、サーバーをクラッシュさせたり、任意のコードを実行したりする可能性があります。(CVE-2017-10971)

X.Org Xサーバーが特定のX eventsのエンディアン変換を不適切に処理することがわかりました。ローカルまたはリモートで X サーバーに接続できる攻撃者がこの問題を利用して、秘密情報を取得する可能性があります。(CVE-2017-10972)

Eric Sesterhenn氏は、X.Org XサーバーがMIT Cookieを不適切に比較することを発見しました。攻撃者がこの問題を利用してタイミング攻撃を実行し、MIT Cookie を復元する可能性があります。(CVE-2017-2624)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
102501	Slackware 13.0/13.1/13.37/14.0/14.1/14.2/最新版：xorg-server（SSA：2017-227-01）	Nessus	Slackware Local Security Checks	2017/8/16	2021/1/14	high
101763	SUSE SLES12セキュリティ更新プログラム：xorg-x11-server (SUSE-SU-2017:1859-1)	Nessus	SuSE Local Security Checks	2017/7/17	2021/1/6	high
101764	SUSE SLED12 / SLES12セキュリティ更新プログラム：xorg-x11-server (SUSE-SU-2017:1860-1)	Nessus	SuSE Local Security Checks	2017/7/17	2021/1/6	high
101323	DebianDSA-3905-1：xorg-server - セキュリティ更新	Nessus	Debian Local Security Checks	2017/7/10	2021/1/4	high
101520	SUSE SLES11セキュリティ更新プログラム：xorg-x11-server (SUSE-SU-2017:1850-1)	Nessus	SuSE Local Security Checks	2017/7/13	2021/1/19	high
101760	openSUSEセキュリティ更新プログラム：xorg-x11-server (openSUSE-2017-825)	Nessus	SuSE Local Security Checks	2017/7/17	2021/1/19	high
103909	FreeBSD: xorg-server -- 複数の問題（ab881a74-c016-4e6d-9f7d-68c8e7cedafb）	Nessus	FreeBSD Local Security Checks	2017/10/18	2021/1/4	high
101552	Debian DLA-1026-1: xorg-server セキュリティ更新	Nessus	Debian Local Security Checks	2017/7/17	2021/1/11	high
101765	SUSE SLES12セキュリティ更新プログラム：xorg-x11-server (SUSE-SU-2017:1861-1)	Nessus	SuSE Local Security Checks	2017/7/17	2021/1/6	high
101949	Ubuntu 14.04 LTS / 16.04 LTS : X.Org X サーバーの脆弱性 (USN-3362-1)	Nessus	Ubuntu Local Security Checks	2017/7/25	2023/10/20	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high