Peringatan Keamanan X.Org: Berbagai Kerentanan Keamanan pada X.Org X Server dan Xwayland

• Proyek X.Org mengumumkan pembaruan yang memperbaiki beberapa kerentanan keamanan yang ditemukan pada xorg-server versi sebelum 21.1.18 dan Xwayland versi sebelum 24.1.8
• Kerentanan pertama (CVE-2025-62229) adalah masalah use-after-free dalam proses pembuatan struktur XPresentNotify, dengan risiko pointer digunakan kembali setelah dibebaskan saat penanganan error
• Kerentanan kedua (CVE-2025-62230) adalah masalah use-after-free dalam proses penghapusan resource klien Xkb, di mana fungsi penghapusan resource merujuk data yang sudah dibebaskan saat klien berakhir
• Kerentanan ketiga (CVE-2025-62231) adalah masalah value overflow pada fungsi XkbSetCompatMap(), di mana total data input dapat melebihi rentang unsigned short
• Semua kerentanan telah diperbaiki di xorg-server 21.1.19 dan Xwayland 24.1.9, dan X.Org menyampaikan terima kasih kepada pelapor serta kontributor perbaikan

---

Ringkasan Peringatan Keamanan X.Org

• Pada 28 Oktober 2025, X.Org merilis peringatan terkait berbagai masalah keamanan yang ditemukan pada implementasi X server dan Xwayland
• Masalah tersebut telah diperbaiki pada versi xorg-server 21.1.19 dan xwayland 24.1.9
• Kerentanan ini ditemukan oleh Jan-Niklas Sohn bekerja sama dengan Trend Micro Zero Day Initiative

CVE-2025-62229 — use-after-free pada struktur XPresentNotify

• Saat menggunakan ekstensi X11 Present, jika terjadi error ketika menambahkan notifikasi setelah menampilkan pixmap, dangling pointer dapat tertinggal
  • Akibatnya, saat struktur notifikasi dihancurkan kemudian, dapat terjadi use-after-free
• Masalah ini diperkenalkan di Xorg 1.15, dan telah diperbaiki pada xorg-server 21.1.19 serta xwayland 24.1.9
• Commit perbaikan: 5a4286b1

CVE-2025-62230 — use-after-free saat menghapus resource klien Xkb

• Saat menghapus resource Xkb milik klien, fungsi XkbRemoveResourceClient() hanya membebaskan data XkbInterest yang terhubung ke perangkat dan tidak membebaskan resource terkait
  • Akibatnya, saat klien berakhir, fungsi penghapusan resource merujuk data yang sudah dibebaskan sehingga terjadi use-after-free
• Masalah ini diperkenalkan di X11R6, dan telah diperbaiki pada xorg-server 21.1.19 serta xwayland 24.1.9
• Commit perbaikan: 99790a2c, 10c94238

CVE-2025-62231 — value overflow pada XkbSetCompatMap()

• Struktur XkbCompatMap menyimpan beberapa nilai sebagai unsigned short, tetapi tidak memeriksa apakah total data input dapat melebihi rentang ini
  • Hal ini dapat menyebabkan value overflow
• Masalah ini diperkenalkan di X11R6, dan telah diperbaiki pada xorg-server 21.1.19 serta xwayland 24.1.9
• Commit perbaikan: 475d9f49

Ucapan terima kasih dan distribusi

• X.Org menyampaikan terima kasih kepada semua kontributor yang melaporkan masalah dan ikut serta dalam perbaikannya
• Dokumen peringatan ini dilampiri file tanda tangan OpenPGP dan kunci publik
• Informasi tambahan tersedia di mailing list xorg-announce

[GN⁺]

Komentar Hacker News

• Penasaran bagaimana perubahan-perubahan ini bekerja di basis X11Libre/xserver
  Sepemahaman saya, mereka sedang menangani masalah keamanan yang muncul di X.Org
  Namun karena XLibre katanya telah memperbaiki ribuan masalah yang belum terselesaikan di pihak X.Org, menarik untuk mengetahui apakah ini sebenarnya sudah termitigasi

  • Jika melihat GitHub mereka, tiga perubahan yang sama seperti di X.Org diterapkan pada 28 Oktober, yaitu hari saat advisori dirilis
    Jadi ini bukan sesuatu yang sudah diperbaiki sebelumnya, melainkan ditambal segera setelah diumumkan
  • Melihat banyaknya pekerjaan yang dilakukan hanya dalam 5 bulan, XLibre tampak seperti proyek yang cukup aktif
  • Saya rasa proyek itu adalah upaya yang sangat tidak realistis
    Jika X.Org benar-benar berhenti, sepertinya mereka tidak punya kapasitas untuk memelihara X11
  • Bukankah itu proyek fork yang membawa-bawa slogan “anti-woke”?
    Terus terang, kelihatannya seperti seseorang melampiaskan ketidakpuasan pribadi lewat fork X server

• Menemukan dan memperbaiki kerentanan seperti ini tentu bagus, tetapi membiarkan klien yang tidak tepercaya berkomunikasi dengan X server memang berbahaya secara desain
  Terutama jika ada aplikasi Tcl/Tk, perintah program bahkan bisa dikirim langsung melalui X server

  • Dalam lingkungan di mana X server berjalan dengan hak akses lebih tinggi atau di host lain, bisa muncul kerentanan eskalasi hak akses
    X11 hampir tidak punya mekanisme keamanan sesi pengguna, jadi sebaiknya jangan menjalankan program UI yang tingkat kepercayaannya rendah
    Tidak adanya cara untuk mencegah injeksi penekanan tombol atau pengambilan tangkapan layar adalah keterbatasan desain, tetapi serangan seperti ini juga tidak boleh diremehkan
  • Masih ada para pengembang legendaris yang memperbaiki bug xorg
    Dulu Alan Coopersmith pernah langsung memperbaiki bug yang saya laporkan
    Seingat saya itu masalah flag yang hilang di program C
  • Pada 1996, tingkat integrasi Tk dengan X sungguh mengagumkan
    Waktu itu Netscape bisa dikendalikan dengan MIT magic cookie, dan kalau dipikir sekarang cukup mengerikan
  • Perintah send di Tk memang berbahaya, tetapi bisa dengan mudah dicegah dengan rebinding menjadi no-op

• Coverity sangat bagus dalam menemukan bug semacam ini
  Jadi saya penasaran kenapa proyek sepenting X.Org tidak memanfaatkan akses gratis ke alat ini

  • Alasannya sederhana. Orang-orang yang mengembangkan Wayland dulunya adalah pengembang X.Org
    Sekarang mereka fokus menciptakan motivasi untuk transisi baru, dan tidak ingin menghabiskan energi untuk memelihara proyek lama

• Penderitaan terbesar Linux adalah grafis. Sayang sekali

  • Menurut saya justru karena grafis Linux bisa menembus pangsa pasar desktop di atas 1%
    Kalau masalahnya ada di perangkat keras memang sulit, tetapi di kebanyakan lingkungan game Steam berjalan hampir setingkat native
    Masalahnya bukan Linux, melainkan sisi perangkat keras
  • Xorg memang jelas rumit dan sulit ditangani
    Tapi ini bukan hal yang khusus Linux, rasanya sekarang lebih seperti teknologi legacy
  • Penderitaan kita adalah grafis... lalu audio... dukungan Wi-Fi...
    Pada akhirnya, tiga penderitaan Linux adalah dukungan perangkat keras untuk grafis, audio, dan Wi-Fi
    Ditambah obsesi yang nyaris religius terhadap command line

• Saya harap mereka tidak mematikan Xorg :(

• Penasaran apakah Fil-C bisa mencegah masalah pertama atau ketiga

  • Menurut saya, semuanya mungkin bisa dicegah

• Penasaran bagaimana Twitter bisa mendapatkan X.com
  Sebaliknya, mungkinkah proyek open source mendapatkan Twitter.org?

  • Pada akhir 1990-an, X.com bergabung dengan PayPal, dan Elon Musk mengambil alih domain itu

• Secara kasar, X11 sekarang pada dasarnya hanya tersisa untuk game lama atau klien Steam
  Terutama karena klien Steam masih berupa berkas biner 32-bit, jadi makin bermasalah

• Melihat Weston berjalan baik di Fil-C dengan rendering SW, sepertinya X server juga akan berjalan baik di Fil-C
  Fil-C memiliki overhead paling rendah pada kode yang berpusat pada operasi bit, dan paling tinggi pada kode yang melacak pointer
  Saya rasa X server lebih dekat ke yang pertama. Weston juga begitu