CVE-2017-12182

Brak walidacji długości w rozszerzeniu XFree86 DRI serwera X.Org

CVSS 9.8v3.0pub. 2018-01-24upd. 2025-08-29

Serwer X.Org przed wersją 1.19.5 nie walidował poprawnie długości danych w rozszerzeniu XFree86 DRI, co umożliwiało złośliwemu klientowi X wywołanie awarii serwera lub wykonanie dowolnego kodu. Podatność posiada ocenę CVSS 9.8 i może być wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

xorg-x11-server before 1.19.5 was missing length validation in XFree86 DRI extension allowing malicious X client to cause X server to crash or possibly execute arbitrary code.

🤖 Analiza AI

Jak działa

Podatność wynika z braku walidacji długości (CWE-20) przesyłanych danych w rozszerzeniu XFree86 DRI obsługiwanym przez serwer X.Org. Złośliwy klient X może wysłać specjalnie spreparowane żądanie z nieprawidłową długością danych, co prowadzi do nieprzewidzianego zachowania serwera. W wyniku tego możliwe jest zarówno wymuszenie awarii procesu serwera (DoS), jak i potencjalnie wykonanie dowolnego kodu (RCE) w kontekście serwera X.

Skutki

Atakujący może spowodować awarię serwera X.Org (Denial of Service) lub, w bardziej zaawansowanym scenariuszu, wykonać dowolny kod w kontekście uprawnień serwera X. Skuteczna eksploitacja może prowadzić do pełnego przejęcia kontroli nad systemem graficznym i potencjalnie nad całym systemem.

Mitygacja

Należy zaktualizować serwer X.Org do wersji 1.19.5 lub nowszej. Użytkownicy systemów Debian powinni zastosować poprawki opisane w komunikatach bezpieczeństwa DSA-4000 (Debian stable) oraz w ogłoszeniu dla Debian LTS z listopada 2017 roku. Patche dostępne są również w referencjach producenta.

Kogo dotyczy

X.Org X Server w wersjach przed 1.19.5 oraz systemy oparte na Debian Linux z podatną wersją pakietu xorg-x11-server

Uwagi

Podatność została zgłoszona i udokumentowana w Bugzilla Red Hat pod numerem 1509223. Poprawka dostępna jest w repozytorium freedesktop.org (commit 1b1d4c04695dced2463404174b50b3581dbd857b). Komunikaty bezpieczeństwa Debian wydano w listopadzie 2017 roku (DSA-4000 oraz debian-lts-announce).