JVN#88935101: X.Org Foundation 製 X サーバにおけるバッファオーバーフローの脆弱性

X.Org Foundation が提供する X サーバにはバッファオーバーフローの脆弱性が存在します。

各ベンダの情報をご確認ください。

X.Org Foundation は、X Window System のオープンソース実装を提供しています。この実装の X サーバには、Portable Compiled Font (PCF) 形式のフォントの処理に問題があり、バッファオーバーフローを起こす脆弱性が存在します。

認証されたユーザが X サーバ上で任意のコードを実行したり、サーバをクラッシュさせたりする可能性があります。

アップデートする
各ベンダが提供する情報をもとに最新版へアップデートしてください。

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
アライドテレシス株式会社	該当製品無し	2009/03/03
富士通株式会社	該当製品あり	2015/10/13

ベンダ	リンク
Fedora Project	Fedora 8 Update: xorg-x11-server-1.3.0.0-39.fc8
	Fedora 8 Update: libXfont-1.3.1-2.fc8
	Fedora 7 Update: xorg-x11-server-1.3.0.0-15.fc7
	Fedora 7 Update: libXfont-1.2.9-3.fc7
Gentoo Linux	X.Org X server and Xfont library: Multiple vulnerabilities
Mandriva, Inc.	Updated XFree86 packages fix multiple vulnerabilities
	Updated xorg-x11 packages fix multiple vulnerabilities
OpenBSD	OpenBSD 4.1 errata
	OpenBSD 4.2 errata
Red Hat, Inc.	XFree86 security update
	xorg-x11 security update
	libXfont security update
SUSE Linux	SUSE Security Announcement: Xorg and XFree (SUSE-SA:2008:003)
Ubuntu	libxfont, xorg-server vulnerabilities
X.Org Foundation	X.Org security advisory: multiple vulnerabilities in the X server

本件に関して、2008年1月17日に X.Org Foundation が security advisory を、2008年3月19日に CERT/CC が VU#203220 を公開しています。

2008.06.10における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	システムに正規登録されている一般ユーザのアカウントが必要	低 - 中
攻撃成立に必要なユーザーの関与	設定の変更など、積極的なユーザ動作が必要	低
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者: CODE blog (codeblog.org) 塩崎拓也氏

JVN#88935101 X.Org Foundation 製 X サーバにおけるバッファオーバーフローの脆弱性