Dvě bezpečnostní chyby v X.Org serveru

Byly zveřejněny informace o dvou bezpečnostních chybách CVE-2020-14360 a CVE-2020-25712 v X.Org serveru. Chyby jsou zneužitelné k lokální eskalaci práv (pokud X server běží pod právy roota).

1.12.2020 17:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[radikální progresivismus]

Tak kde jsou všichni dinosauři kteří obhajují Xka a bojí se Waylandu jak čert kříže? Celé Xko mělo být už dávno na smetišti dejin.

[x]

Mas opravdu ten naivni pocit, ze kdyz to nekdo neopravil v dost komplexnim kodu doted nebo spise ze si toho cela open source komunita doted nevsimla, tak zazrakem v jinem projektu si techto chyb vsimne jo?

Takovy OpenSSL a podobne by mohlo vypravet

[mota]

cela open source komunita

slovy 2?

[Peter Golis]

Vy chcete tvrdiť niečo o binárnych užívateľoch? Systemd na vás!

[Mě to pod rootem neběží]

$ ps axu | grep X | grep ^root | wc -l
0

[Xerces]

Tady. Copak je?

[luky]

Tak jsem koukal a bezi mi to pod normalnim uzivatelem. IMHO to problem je jenom v nejakejch login managerech, ktery nerestartujou Xserver po tom, co se user zaloguje.

[figliar0]

Co citam na archwiki, vacsina display managerov nevie rootless Xorg. Trebars lightdm na Debiane pusti Xorg pod rootom (viac-menej default install). Na Archu mi to robilo tiez tak - momentalne ale lightdm nepouzivam a Xorg spustam rucne pod userom. Dakedy som pouzival nejaky DM, ktory carbal na framebuffer a nepotreboval X na svoj beh a ten tiez myslim len spustil xinit pod userom (zeby to bol slim? - ale ten uz je mrtvy...). Vyzera to, ze jediny to vie GDM (ktore distro to pouziva?).

[RB]

Vyzera to, ze jediny to vie GDM (ktore distro to pouziva?)

Používají to prakticky všechna distra, která mají jako výchozí GNOME, takže většina těch velkých: Debian, Fedora, Ubuntu, openSUSE...

[figliar0]

Fakt? Ja som žil v tom, že väčšina distier prešla na LightDM. Debian s Xfce pri inštalácií predinštaluje lightdm, Linux Mint a deriváty Ubuntu (min niektoré) tiež. Ale beriem, že s Gnome neprichádzam do styku, takže som asi trocha mimo toho, čo je dnes in.

[Petr Ježek]

LXDM

[figliar0]

To ešte žije? Ja mám zato, že je to mŕtvy projekt tak ako celé LXDE (nahradilo ho LXQT).

[luky]

xinit pod userem muze poustet i Xkovej DM, jde to poznat podle toho, ze obraz po zalogovani problikne, kdyz se spousti novej server.

[figliar0]

To je jasné... len máloktorý to tak aj skutočne robí.

[Petr Ježek]

V Archu mám od včerejška novou verzi Xorg...

[k3dAR]

v *buntu mam od predvcera opravenou verzi 1.20.8-2ubuntu2.6 ...