CVE-2026-88807: переполнение кучи в libXrender позволяет внедрить код в X-клиенты

В библиотеке libXrender, разрабатываемой X.org и широко используемой в графических приложениях и десктопных окружениях, выявлена опасная уязвимость переполнения буфера. Проблема затрагивает механизм обработки ответов на запрос RenderQueryPictFormats — операцию, связанную с расширением XRender, которое применяется для композитинга и обработки изображений.

Подробности

Уязвимость CVE-2026-88807 — это переполнение буфера в куче (heap-based buffer overflow), возникающее в libXrender до версии 0.9.13 при разборе ответа на запрос RenderQueryPictFormats. Поскольку X-клиент получает данные от X-сервера и доверяет им при разборе, вредоносный или скомпрометированный X-сервер может отправить специально сформированный ответ, приводящий к переполнению кучи. Базовый показатель CVSS 8.9 (HIGH) отражает серьёзность последствий: успешная эксплуатация позволяет внедрить и выполнить произвольный код в контексте подключённого X-клиента.

Продукт: X.org libXrender. Уязвимы версии до 0.9.13. Тип: CWE не указан явно в записи, однако поведение соответствует классическому переполнению буфера в куче. Основной вектор атаки — недоверенный X-сервер. Это особенно актуально для сценариев, где клиент подключается к удалённому X-серверу, X11-форвардингу, а также в средах с изоляцией, где сервер не считается доверенной стороной.

Что делать

Основная рекомендация — обновить libXrender до версии 0.9.13 или более поздней. Пакет входит в состав большинства дистрибутивов Linux и ряда Unix-систем, поэтому обновление следует выполнять штатными средствами пакетного менеджера либо из официальных источников X.org. При невозможности немедленного обновления стоит ограничить подключения к недоверенным или внешним X-серверам, избегать X11-форвардинга в ненадёжные сегменты сети и применять изоляцию графических сессий. Организациям рекомендуется провести инвентаризацию систем, использующих libXrender, и приоритизировать обновление на критичных рабочих станциях и серверах, где библиотека задействована.

Уязвимость CVE-2026-88807 демонстрирует, что даже клиентские библиотеки графического стека могут становиться точкой входа при атаке через недоверенные серверы данных. Своевременное обновление libXrender до 0.9.13 и пересмотр доверительных отношений с X-серверами снижают риск эксплуатации.

Источник: CVE Project (cvelistV5)