X.org Server、6月に9つの新たなセキュリティ脆弱性がAIで発見される

X.Org Serverは6月の開始とともに9つの新たなセキュリティ脆弱性をもたらしました。これらはXWaylandコンポーネントにも影響します。そうです、10年以上前にX.Org Serverのセキュリティ問題が表面化し、セキュリティ研究が「それは災害だ」「見た目よりも悪い」と認めて以来、その状況は今も続いています。

これらの最新のセキュリティ脆弱性はAIを使って発見されました。具体的にはトレンドマイクロのTrendAI Zero Day Initiativeです。TrendAIは本日公開された9つの脆弱性のうち8つを発見し、Red Hatの長年のX.Org入力開発者Peter Hutterer氏が9つ目を発見しました。

最新のX.Org Serverコードベースの脆弱性は以下の通りです：

• Font Alias スタックベースのバッファオーバーフロー
• XSYNC miSyncDestroyFence()の解放後使用
• XKB Key Types スタックベースのバッファオーバーフロー
• XKB SetMap リクエスト スタックベースのバッファオーバーフロー
• XSYNC FreeCounter()の解放後使用
• XSYNC SyncChangeCounter()の解放後使用
• GLX ChangeDrawableAttributesの範囲外読み取り/書き込み
• CreateSaverWindow 解放後使用による情報漏洩
• DRI2 DRIGetBuffers/DRIGetBuffersWithFormatの範囲外書き込み

本日のセキュリティ開示の詳細はxorg-announceメーリングリストをご覧ください。そして、これらの最新のセキュリティ問題に対処するため、xorg-server 21.1.23とxwayland 24.1.12が本晩リリースされました。AI/LLMのセキュリティ研究への利用が増える中、X.Org Serverコードベースでこの夏、さらに多くの問題が発見されるのか、Linuxカーネルでも次々と問題が発生していることを考えると、興味深いところです。