X.Org Server와 XWayland에서 취약점 12건 추가 발견

AI 요약

TrendAI Zero Day Initiative가 X.Org Server와 XWayland에서 취약점 12건을 찾아 공개했습니다. X.Org 코드베이스의 메모리 안전성 문제가 다시 드러났으며, 취약점에는 use-after-free, 힙 버퍼 오버플로, 범위를 벗어난 읽기·쓰기, 정수 절단이 포함됩니다.

확인된 취약점과 영향 버전

공개된 항목은 XKB, Present, XInput, GLX, XFixes, RandR, Glamor 등 여러 확장과 구성요소에 걸쳐 있습니다. CVE-2026-88812는 XKB SetGeometry의 double free 문제입니다. CVE-2026-93515와 CVE-2026-93516은 각각 Present와 XInput에서 use-after-free가 발생합니다. GLX RenderLarge와 XFixes Pointer Barrier에는 힙 버퍼 오버플로가 있으며, XKB와 XInput2에는 범위를 벗어난 쓰기·읽기 문제가 포함됩니다. 전체 취약점은 새 버전인 xorg-server 21.1.25 및 xwayland 24.1.14보다 이전 버전에 영향을 줍니다.

Reddit 반응

• @u/natermer — “눈이 충분하면 모든 버그는 얕다”는 말이 있습니다. 머신러닝이 그 눈을 보탠 지금은 예전 어느 때보다 맞는 말입니다.
  • @u/taz-nz — 애초에 눈이 충분했던 적은 없습니다. 이제는 수백만 개의 GPU 코어가 살펴보고 있습니다.
• @u/ilep — X11에는 버그가 많지만, 호환성을 유지하려면 고칠 수 없는 버그도 있습니다. 버그를 수정했다가 나중에 무언가 작동하지 않는 일을 보게 됩니다. 현대 기준에 맞지 않는 오래된 코드베이스가 안고 있는 문제입니다.
  • @u/marrsd — 기존 데스크톱 소프트웨어 실행을 고려하는 대체제가 있으면 좋겠습니다.
  • @u/Preisschild — Wayland와 XWayland가 그 대체제입니다. 현대 프로그램이 1980년대에 설계한 API를 구현할 필요는 없습니다. 지나친 하위 호환성은 발전을 막습니다.
• @u/SubmarineWipers — 안전한 Rust로 구현했다면 이 12건의 취약점에서 악용 가능한 메모리 손상이 발생하지 않았을 것입니다. 메모리 안전성 문제는 컴파일 단계에서 거부되거나, 시스템 침해 대신 예측 가능한 런타임 중단으로 이어졌을 것입니다.
  • @u/ilep — 더 큰 문제는 X11의 설계입니다. 보안 모델도 취약합니다. 예전에는 하드웨어 드라이버가 X 서버 안에 있어 서버를 root로 실행해야 했습니다. 하드웨어 처리를 제자리로 옮기는 등 X11에서 벗어나며 다른 문제도 해결됐습니다.
  • @u/marrsd — C나 C++에도 이런 문제를 막는 코딩 표준을 적용하기는 쉽습니다. 린터와 컴파일러도 있습니다. Rust는 그런 자동화를 언어에 넣었고 표현력도 더 좋지만, 기존 소프트웨어를 전부 다시 쓰지 않는 대안도 있습니다.
• @u/PlainBread — 제로데이 취약점을 발견하고 숨기거나 정부에 파는 시기에서, 취약점이 너무 빠르게 발견돼 공격자가 공격 순간에 비공개 취약점을 찾아야 하는 시기로 넘어가는 것 같습니다.
  • @u/wRAR_ — 아니면 문서화된 취약점을 쓰면 됩니다.
• @u/solarpunch2949 — 오픈소스 개발은 기업만큼 자원이 없어서 걱정됩니다.
  • @u/Wonderful-Citron-678 — 오픈소스가 대응하기 가장 좋은 위치에 있습니다. 변경 비용이 낮고 잘못을 숨길 수 없습니다. 기업 소프트웨어가 더 큰 위험이 될 것입니다.
  • @u/Cyhawk — 현재는 취약점을 찾는 일이 고치는 일보다 쉽습니다.
• @u/varsnef — 무슨 말인가요? 이미 수정됐습니다. 이 문제는 xorg-server 21.1.25와 xwayland 24.1.14 이전 버전에 있습니다.

원문: Phoronix / 번역·요약: Trawling