xorg-x11-libX11 已更新，可修正一個安全性問題。

已修正此安全性問題：

- CVE-2013-7439：在 X11R6.x 和 1.6.0 版之前的 libX11 中，include/X11/Xlibint 的 (1) MakeBigReq 和 (2) SetReqLen 巨集中存有多個差一錯誤，這會讓遠端攻擊者透過特製要求觸發緩衝區溢位，進而造成不明影響 (bsc#927220)。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - X11R6.x 和 libX11 之前的 1.6.0 中 include/X11/Xlibint.h 的 (1) MakeBigReq 和 (2) SetReqLen 巨集中的多個差一錯誤允許遠端攻擊者透過特製要求造成不明影響，這會觸發緩衝區溢位。 (CVE-2013-7439)

請注意，Nessus 依賴供應商報告的套件存在。

Abhishek Arya 發現 libx11 提供的 MakeBigReq 巨集中有一個緩衝區溢位，可能會導致拒絕服務或任意程式碼執行。

此更新發佈之後，數個其他 xorg 套件 (例如：libxrender) 都將根據已修正的套件，進行重新編譯。如需深入瞭解重新編譯的套件狀態，請參閱　Debian Security Tracker，網址為：https://security-tracker.debian.org/tracker/CVE-2013-7439。

Abhishek Arya 發現 libx11 提供的 MakeBigReq 巨集中有一個緩衝區溢位，可能會導致拒絕服務或任意程式碼執行。

此更新發佈之後，數個其他 xorg 套件 (例如：libxrender) 都將根據已修正的套件，進行重新編譯。如需深入瞭解重新編譯的套件狀態，請參閱 Debian Security Tracker，網址為：https://security-tracker.debian.org/tracker/CVE-2013-7439

針對舊的穩定發行版本 (squeeze)，此問題已在 2:1.3.3-4+squeeze2 版中修正。

針對穩定的發行版本 (wheezy)，此問題已在 2:1.5.0-1+deb7u2 版中修正。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 6 主機上安裝的套件受到 RHSA-2014:1436 公告中提及的多個弱點影響。

    X11 (Xorg) 程式庫提供在所有 X Window 應用程式中使用的程式庫常式。

    在各種 X11 用戶端程式庫處理特定通訊協定資料的方式中，發現多個可導致堆積型緩衝區溢位的整數溢位瑕疵。攻擊者若能透過惡意 X11 用戶端提交無效通訊協定資料至 X11 伺服器，就可以利用其中任何一個瑕疵，提升其在系統上的權限。(CVE-2013-1981、CVE-2013-1982、CVE-2013-1983、CVE-2013-1984、CVE-2013-1985、CVE-2013-1986、CVE-2013-1987、CVE-2013-1988、CVE-2013-1989、CVE-2013-1990、CVE-2013-1991、CVE-2013-2003、CVE-2013-2062、CVE-2013-2064)

    在各種 X11 用戶端程式庫處理從 X11 伺服器傳回之資料的方式中，發現多個可導致堆積型緩衝區超出邊界寫入瑕疵的陣列索引錯誤。惡意 X11 伺服器可能會利用此瑕疵，以執行 X11 用戶端的使用者權限執行任意程式碼。(CVE-2013-1997、CVE-2013-1998、CVE-2013-1999、CVE-2013-2000、CVE-2013-2001、CVE-2013-2002、CVE-2013-2066)

    在 X.Org X11 的 libXi 運行時間程式庫的 XListInputDevices() 函式處理已簽署編號的方式中發現一個緩衝區溢位瑕疵。
    惡意 X11 伺服器可能會利用此瑕疵，以執行 X11 用戶端的使用者權限執行任意程式碼。(CVE-2013-1995)

    在 X.Org X11 libXt 運行時間程式庫使用未初始化指標的方式中發現一個瑕疵。惡意 X11 伺服器可能會利用此瑕疵，以執行 X11 用戶端的使用者權限執行任意程式碼。(CVE-2013-2005)

    在核心 X11 通訊協定用戶端程式庫 libX11 處理特定使用者指定檔案的方式中發現兩個堆疊型緩衝區溢位瑕疵。
    惡意 X11 伺服器可能會利用此瑕疵，透過特製的檔案造成 X11 用戶端當機。(CVE-2013-2004)

    xkeyboard-config 套件已升級至上游版本 2.11，相較於先前的版本，此版本提供數個錯誤修正與增強功能。(BZ#1077471)

    此更新也可修正下列錯誤：

    * 之前，雖然 libX11 套件列為 mesa-libGL 的相依性，但更新 mesa-libGL 套件並未更新該套件。此錯誤已修正，現在更新 mesa-libGL 便會如預期更新所有相依性套件。(BZ#1054614)

    * 之前，關閉客戶應用程式有時可導致 X 伺服器意外終止。安裝此更新之後，使用者關閉客戶應用程式時 X 伺服器不會再懸置。(BZ#971626)

    建議所有 X11 用戶端程式庫使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 14.04 LTS 主機上安裝的套件受到 USN-2568-1 公告中所提及的一個弱點影響。

    Abhishek Arya 發現，libX11 未正確處理 MakeBigReq 巨集中的記憶體。遠端攻擊者可利用此問題造成應用程式損毀，進而導致拒絕服務或可能執行任意程式碼。

    此外，在 libx11 中的巨集修正之後，也已將其他一些套件重建為安全性更新，包括 libxrender、libxext、libxi、libxfixes、libxrandr、libsdl1.2、libxv、libxp 和 xserver-xorg-video-vmware。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
85215	SUSE SLED11 / SLES11 安全性更新：xorg-x11-libX11 (SUSE-SU-2015:1334-1)	Nessus	SuSE Local Security Checks	2015/8/4	2021/1/6	high
218115	Linux Distros 未修補弱點：CVE-2013-7439	Nessus	Misc.	2025/3/4	2025/3/4	critical
82746	Debian DSA-3224-1：libx11 - 安全性更新	Nessus	Debian Local Security Checks	2015/4/14	2021/1/11	high
82785	Debian DLA-199-1：libx11 安全性更新	Nessus	Debian Local Security Checks	2015/4/15	2021/1/11	high
78411	RHEL 6：X11 用戶端程式庫 (RHSA-2014:1436)	Nessus	Red Hat Local Security Checks	2014/10/14	2025/3/21	critical
82766	Ubuntu 14.04 LTS：libx11、libxrender 弱點 (USN-2568-1)	Nessus	Ubuntu Local Security Checks	2015/4/14	2024/8/27	critical

偵測

搜尋 Plugin

high

critical

high

high

critical

critical