CVE-2017-12186

Brak walidacji długości w rozszerzeniu X-Resource serwera X.Org

CVSS 9.8v3.0pub. 2018-01-24upd. 2025-08-29

Serwer X.Org przed wersją 1.19.5 nie weryfikował poprawnie długości danych w rozszerzeniu X-Resource, co umożliwiało złośliwemu klientowi X spowodowanie awarii serwera lub wykonanie dowolnego kodu. Podatność jest krytyczna ze względu na możliwość zdalnego RCE bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

xorg-x11-server before 1.19.5 was missing length validation in X-Resource extension allowing malicious X client to cause X server to crash or possibly execute arbitrary code.

🤖 Analiza AI

Jak działa

Rozszerzenie X-Resource serwera X.Org nie przeprowadzało walidacji długości przesyłanych danych wejściowych (CWE-20). Brak tej kontroli oznacza, że złośliwy klient X mógł wysłać specjalnie spreparowane żądanie z nieprawidłowymi wartościami długości. Serwer przetwarzał takie dane bez weryfikacji ich poprawności, co prowadziło do uszkodzenia pamięci i potencjalnego wykonania arbitralnego kodu (RCE).

Skutki

Atakujący może spowodować awarię serwera X (odmowa usługi) lub wykonać dowolny kod w kontekście procesu serwera X, co może prowadzić do pełnego przejęcia kontroli nad systemem.

Mitygacja

Należy zaktualizować xorg-x11-server do wersji 1.19.5 lub nowszej. Użytkownicy systemu Debian powinni zastosować patche opisane w biuletynie bezpieczeństwa DSA-4000. Poprawka dostępna jest również w repozytorium freedesktop.org (commit cad5a1050b7184d828aef9c1dd151c3ab649d37e).