Как сообщает независимый исследователь безопасности Илья ван Шпрундель (Ilja van Sprundel), ему удалось обнаружить рекордно старую уязвимость в графической оболочке для Linux от X.Org, датируемую 1991 годом. Как следует из его доклада «X Security - It"s worse than it looks» – «Безопасность Иксов. Хуже, чем кажется», брешь содержится в библиотеке libXfont, используемой всеми продуктами проекта.

Более того, через неделю после доклада ван Шпрунделя организация X.Org опубликовала бюллетень безопасности CVE-2013-6462 с описанием уязвимости, которая датируется аж 1991 годом. Это новый рекорд для бюллетеней безопасности X11. Предыдущий был установлен в октябре с описанием уязвимости 1993 года.

Новый баг связан с переполнением стека при обработке шрифтов BDF библиотекой libXfont. Тестирование показало, что при наличии слишком длинной строки в файле BDF немедленно происходит падение X-сервера. Баг удалось найти с помощью инструмента статического анализа исходных кодов cppcheck.

Библиотека libXfont используется для обработки шрифтов во всех X-серверах, которые распространяются X.Org, включая сервер Xorg, часто работающий с рутовыми привилегиями. Таким образом, уязвимость могла привести к получению рутового доступа в систему непривилегированным пользователем.

Патч доступен по адресу – http://cgit.freedesktop.org/xorg/lib/libXfont/commit/?id=4d024ac10f964f6bd372ae0dd14f02772a6e5f63. Он включен в новую версию libXfont 1.4.7.

Что характерно, ван Шпрундель уже не первый раз выступает с докладом о безопасности X11, после его прошлого выступления организация X.Org выпустила большой набор патчей безопасности в мае 2013 года. Сейчас история повторяется. Похоже, что созданный 30 лет назад протокол X Window System не слишком приспособлен для современного мира.

Последние новости и обзоры программ:

Новая версия Revisor VMS 1.9.2

Вышла обновленная версия Grizzly Антивирус (1.0.40.344)

Сооснователь Apple не видит условий для начала "войны машин"

Samsung Grand Duos взорвался в кармане у жителя Индонезии

Бывший разработчик Telegram раскрыл новые подробности конфликта с Дуровым

В США спрогнозировали будущее российской космонавтики

Россияне оказались готовы к разговору с умным холодильником

Разработан метод создания живой сетчатки глаза при помощи 3D-печати

Siri признана самым тупым искусственным интеллектом

Поддержка Firefox для Windows XP и Vista прекратится в 2018 году

Комментарии на нашем сайте: