یک محقق امنیتی هندی یک آسیب‌پذیری فوق بحرانی را در بسته‌ی نرم‌افزاری X.Org Server شناسایی کرده که OpenBSD و بسیاری از توزیع‌های لینوکس از جمله دبیان، اوبونتو، CentOS ،Red Hat و Fedora را تحت تاثیر قرار داده است. این بسته‌ی نرم‌افزاری یک پیاده‌سازی متن‌باز از X11 system (سرور نمایش) است که برای بسیاری از بسترهای سیستم عاملی و سخت‌افزاری محیط گرافیکی را فراهم می‌کند. این نرم‌افزار به‌عنوان واسطی بین کارخواه و برنامه‌ی کاربردی کاربر عمل کرده و محیط گرافیکی را مدیریت می‌کند.
به گفته‌ی این محقق امنیتی در این بسته‌ی نرم‌افزاری آرگومان‌ها برای پارامترهای خط فرمان به‌طور درستی مدیریت و اعتبارسنجی نمی‌شوند. یک مهاجم با امتیازات سطح پایین می‌تواند به اجرای کدهای مخرب پرداخته و فایل‌ها را بازنویسی کند حتی اگر مالک این فایل‌ها حساب کاربری روت باشد. به این آسیب‌پذیری شناسه‌ی CVE-2018-14665 اختصاص یافته و در نسخه‌ی ۱٫۱۹٫۰ از این بسته‌ی نرم‌افزاری وجود دارد که تقریبا برای مدت دو سال شناسایی نشده است. یک مهاجم محلی می‌توانسته از این آسیب‌پذیری از طریق ترمینال و یا SSH بهره‌برداری کرده و بر روی سیستم هدف امتیازات خود را ارتقاء دهد.
دو پارامتری که در ورودی خط فرمان به‌طور مناسب اعتبارسنجی نمی‌شوند عبارتند از:
modulepath-: این پارامتر مسیر دایرکتوری را مشخص می‌کند تا در آن مسیر ماژول‌های Xorg server جستجو شود.
logfile-: بجای استفاده از فایل لاگ پیش‌فرض که در مسیر /var/log/Xorg.n.log وجود دارد، برای تنظیم یک فایل لاگ جدید برای این سرور از این پارامتر استفاده می‌شود.
در مشاوره‌نامه‌ی این آسیب‌پذیری آمده است: «اگر این سرور با امتیازات بالا اجرا شود، با پارامتر modulepath- مهاجم می‌تواند مسیری را انتخاب کند که در آن ماژول‌های مخرب قرار گرفته تا دستورات موجود در آن با امتیازات بالا اجرا شوند. در این پارامترها مجوزها به‌طور مناسب بررسی نشده و مهاجم می‌تواند از طریق کنسول فیزیکی وارد سیستم شده و پس از ارتقاء امتیاز، کدهای دلخواه خود را اجرا کند.»
این محقق دیروز یک کد اثبا مفهومی ساده برای این آسیب‌پذیری منتشر کرده و اعلام کرده یک مهاجم به معنای واقعی کلمه می‌تواند با اجرای ۳ دستور و یا کمتر، کنترل سیستم آسیب‌پذیر را در دست بگیرد. بنیاد X.Org برای وصله‌ی این آسیب‌پذیری نسخه‌ی ۱٫۲۰٫۳ از این بسته‌ی نرم‌افزاری را منتشر کرده است. به تمامی مدیران سیستم‌ها در توزیع‌های مختلف لینوکس توصیه می‌شود هرچه سریع‌تر این بسته‌ی نرم‌افزاری را به‌روزرسانی کنند.
