X.Org güvenlik uyarısı: X.Org X sunucusu ve Xwayland’da birden fazla güvenlik açığı

• X.Org projesi, xorg-server 21.1.18 öncesi sürümler ve Xwayland 24.1.8 öncesi sürümlerde tespit edilen çeşitli güvenlik açıklarını gideren bir güncelleme yayımladı
• İlk açık (CVE-2025-62229), XPresentNotify yapısının oluşturulması sırasında oluşan bir use-after-free sorunu ile ilgili; hata işleme sırasında işaretçi serbest bırakıldıktan sonra yeniden kullanılma riski bulunuyor
• İkinci açık (CVE-2025-62230), Xkb istemci kaynaklarının kaldırılması sürecindeki bir use-after-free sorunu ile ilgili; istemci sonlanırken kaynak silme işlevi daha önce serbest bırakılmış veriye başvuruyor
• Üçüncü açık (CVE-2025-62231), XkbSetCompatMap() işlevindeki bir değer taşması sorunu ile ilgili; giriş verilerinin toplamı unsigned short aralığını aşabiliyor
• Tüm açıklar xorg-server 21.1.19 ve Xwayland 24.1.9 sürümlerinde giderildi; X.Org, bildirenlere ve düzeltmeye katkı sunanlara teşekkür etti

---

X.Org güvenlik uyarısına genel bakış

• X.Org, 28 Ekim 2025’te X sunucusu ve Xwayland uygulamasında tespit edilen birden fazla güvenlik sorunu hakkında bir uyarı yayımladı
• Söz konusu sorunlar xorg-server 21.1.19 ve xwayland 24.1.9 sürümlerinde düzeltildi
• Açıklar, Trend Micro Zero Day Initiative ile iş birliği yapan Jan-Niklas Sohn tarafından keşfedildi

CVE-2025-62229 — XPresentNotify yapısında use-after-free

• X11 Present eklentisi kullanılırken, pixmap gösterildikten sonra bildirim ekleme sürecinde hata oluşursa geride bir dangling pointer kalabiliyor
  • Bu da daha sonra bildirim yapısı yok edilirken use-after-free oluşmasına yol açabiliyor
• Bu sorun Xorg 1.15 sürümünde eklendi ve xorg-server 21.1.19 ile xwayland 24.1.9 sürümlerinde düzeltildi
• Düzeltme commit’i: 5a4286b1

CVE-2025-62230 — Xkb istemci kaynakları kaldırılırken use-after-free

• Bir istemcinin Xkb kaynakları kaldırılırken, XkbRemoveResourceClient() işlevi cihaza bağlı XkbInterest verisini yalnızca serbest bırakıyor, ancak ilişkili kaynakları serbest bırakmıyor
  • Sonuç olarak istemci sonlanırken kaynak silme işlevi daha önce serbest bırakılmış veriye başvurarak use-after-free oluşturuyor
• Bu sorun X11R6 sürümünde eklendi ve xorg-server 21.1.19 ile xwayland 24.1.9 sürümlerinde düzeltildi
• Düzeltme commit’leri: 99790a2c, 10c94238

CVE-2025-62231 — XkbSetCompatMap() içinde değer taşması

• XkbCompatMap yapısı bazı değerleri unsigned short olarak saklıyor, ancak giriş verilerinin toplamının bu aralığı aşıp aşmadığını kontrol etmiyor
  • Bu nedenle değer taşması oluşabiliyor
• Bu sorun X11R6 sürümünde eklendi ve xorg-server 21.1.19 ile xwayland 24.1.9 sürümlerinde düzeltildi
• Düzeltme commit’i: 475d9f49

Teşekkür ve dağıtım

• X.Org, sorunu bildiren ve düzeltmeye katkı sunan tüm katkıcılara teşekkür etti
• Uyarı metnine OpenPGP imzası ve açık anahtar dosyası eklendi
• Ek bilgiye xorg-announce posta listesi üzerinden ulaşılabilir

[GN⁺]

Hacker News görüşleri

• X11Libre/xserver tabanında bu değişikliklerin nasıl çalıştığını merak ediyorum
  Benim anladığım kadarıyla X.Org’da ortaya çıkan güvenlik sorunlarını çözüyorlar
  Ama XLibre’ın X.Org tarafında çözülmemiş binlerce sorunu düzelttiği söylenince, bunun zaten hafifletilmiş olup olmadığını merak ediyorum

  • GitHub’larına bakınca X.Org’daki aynı üç değişikliğin 28 Ekim’de, yani güvenlik duyurusunun yayımlandığı gün uygulandığı görülüyor
    Yani önceden düzeltilmiş değildi; duyurudan hemen sonra yamalanmış
  • 5 ayda yapılan iş miktarına bakınca XLibre oldukça aktif bir proje gibi görünüyor
  • Bence o proje gerçekçi olmayan, hayal ürünü düzeyinde bir girişim
    X.Org tamamen durursa X11’i sürdürebilecek kapasiteye sahip olduklarını sanmıyorum
  • Bu, “anti-woke” söylemiyle fork edilen proje değil mi?
    Dürüst olmak gerekirse, belirli bir kişinin kişisel hoşnutsuzluğunu X sunucusu fork’u üzerinden dışa vurması gibi görünmüştü

• Bu tür açıkları bulup düzeltmek iyi, ama güvenilmeyen istemcilerin X sunucusuyla haberleşmesine izin vermek tasarım gereği riskli
  Özellikle Tcl/Tk uygulamaları varsa, X sunucusu üzerinden doğrudan program komutları bile gönderilebilir

  • X sunucusunun daha yüksek yetkilerle çalıştığı ya da başka bir host üzerinde bulunduğu ortamlarda yetki yükseltme açığı oluşabilir
    X11’de kullanıcı oturumu için güvenlik mekanizmaları neredeyse hiç olmadığı için, güven düzeyi düşük UI programlarını çalıştırmamak en iyisi
    Tuş vuruşu enjekte etmeyi veya ekran yakalamayı engellemenin bir yolu olmaması tasarımsal bir sınır, ama bu tür saldırıları küçümsememek gerekir
  • Hâlâ xorg hatalarını düzelten efsanevi geliştiriciler var
    Eskiden Alan Coopersmith benim bildirdiğim bir hatayı bizzat düzeltmişti
    Sanırım bir C programındaki eksik flag meselesiydi
  • 1996’da Tk’nin X entegrasyon seviyesi şaşırtıcıydı
    O zamanlar Netscape’i MIT magic cookie ile kontrol edebiliyordunuz; şimdi düşününce epey ürkütücü
  • Tk’nin send komutu tehlikeli, ama no-op olarak yeniden bağlayarak kolayca engellenebilir

• Coverity bu tür hataları bulmada çok iyi
  Ama X.Org gibi önemli bir projenin neden bu aracın ücretsiz erişim hakkından yararlanmadığını merak ediyorum

  • Sebep basit. Wayland’i geliştirenler aslında eski X.Org geliştiricileriydi
    Artık enerjilerini yeni geçiş motivasyonları oluşturmaya veriyorlar ve eski projeyi sürdürmek için harcamak istemiyorlar

• Linux’un en büyük sıkıntısı grafikler. Gerçekten üzücü

  • Bence Linux masaüstü pazar payında %1’i grafikleri sayesinde aştı
    Sorun donanımdaysa zor olabiliyor, ama çoğu ortamda Steam oyunları neredeyse yerel düzeyde iyi çalışıyor
    Sorun Linux değil, donanım tarafı
  • Xorg kesinlikle karmaşık ve uğraştırıcı
    Ama bu Linux’a özgü değil; artık daha çok eski teknoloji olarak kalmış gibi
  • Bizim acımız grafikler... ve ses... Wi‑Fi desteği...
    Sonuçta Linux’un üç büyük derdi grafik, ses ve Wi‑Fi donanım desteği
    Buna komut satırına yönelik neredeyse dinsel bir takıntıyı da ekleyebiliriz

• Umarım Xorg’u öldürmezler :(

• Fil-C’nin birinci ya da üçüncü sorunu engelleyip engelleyemeyeceğini merak ediyorum

  • Bana kalırsa hepsi önlenebilirdi

• Twitter’ın X.com’u nasıl aldığı merak konusu
  Tersine, açık kaynaklı bir proje Twitter.org’u alabilir miydi?

  • 90’ların sonunda X.com PayPal ile birleşti ve Elon Musk alan adını aldı

• Kabaca söylemek gerekirse X11 artık daha çok eski oyunlar ya da Steam istemcisi için hayatta
  Özellikle Steam istemcisi hâlâ 32 bit bir çalıştırılabilir dosya olduğu için bu ayrıca sorunlu

• Fil-C’de Weston’ın yazılım tabanlı render ile iyi çalıştığını görünce, X sunucusunun da Fil-C’de iyi çalışacağını düşünüyorum
  Fil-C’nin bit işlemi ağırlıklı kodlarda ek yükü en düşük, pointer takibi yapan kodlarda ise en yüksek
  X sunucusu bana ilkine daha yakın geliyor. Weston da öyleydi