因此，该软件受到 ALAS2023-2026-3261 公告中提及的多个漏洞影响。

    xkb/xkb.c 中的 CheckSetDoodad（） 在出错时释放 doodad->text.text，但未使指针为 NULL。当错误路径继续出现时，在清除期间调用 _XkbClearDoodad（），并再次释放相同的指针，导致双重释放。经认证的 X 客户端可通过发送构建的 XkbSetGeometry 请求来触发此漏洞，该请求包含采用初始错误路径的畸形 TextDoodad 条目。

    双重释放可导致堆损坏，可能允许任意代码执行或拒绝服务（崩溃）。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/c724006ee76fb002add50fcb4d97e8c96c279f09 （xorg-server-21.1.25） （CVE-2026-88812）

    Present_clear_window_notifies（） 未在释放window_priv之前取消链接每个窗口列表中的通知条目。随后销毁或重用该窗口时，将遍历过时的列表条目，从而导致释放后使用。

    经认证的 X 客户端可通过创建跨窗口 Present 通知然后破坏目标窗口来触发此漏洞。必须同时启用 Present 和 SYNC 扩展（默认启用）。释放后使用可导致拒绝服务（崩溃）或可能的信息泄露。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/a469f98bcfab50dab607ff5ac24037632b0079a3 （xorg-server-21.1.25） （CVE-2026-93515）

    XInput 被动抓取修饰符设备释放后使用

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/9442a53c137bb9eb61336c6fd39627912d50cc8d （xorg-server-21.1.25） （CVE-2026-93516）

    在 GLX RenderLarge 请求处理中，缓冲区被分配给 cmdlen 的大小，但后续的 memcpy 会将 dataBytes 复制到其中。未验证 dataBytes 是否小于或等于 cmdlen，从而允许攻击者写入超过分配的缓冲区末尾。

    经过认证的 X 客户端可通过发送 dataBytes 超出 cmdlen 的构建的 GLX RenderLarge 请求来触发此问题，从而导致堆缓冲区溢出。堆缓冲区溢出可导致任意代码执行或拒绝服务。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/3961cdca467975a7d377f1f7bcd55d52eb3f417a （xorg-server-21.1.25） （CVE-2026-93517）

    在 XkbResizeKeyType（） 中，size_syms 变量被声明为无符号 short。对于大的 nTotal 值，表达式 （nTotal * 15） / 10 可能超过 65535，并且当分配给无符号短变量时，结果将被截断。这会导致分配规模过小，且后续写入会造成堆缓冲区溢出。

    经认证的 X 客户端可通过发送 XKB 请求来触发此漏洞，这些请求可导致密钥类型调整大小并具有足够大的 nTotal 值。截断分配导致的堆缓冲区溢出可导致任意代码执行或拒绝服务。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/558ba8f784b0f5d4d96948051b2f04c983af20cc （xorg-server-21.1.25） （CVE-2026-93518）

    Input_constrain_cursor（） 在不检查边界的情况下将屏障事件写入固定大小的缓冲区。当超过 100 个指针屏障处于活动状态时，写入会溢出堆栈或堆上的固定缓冲区。通过创建超过 100 个指针屏障（使用 XFIXES 扩展），然后生成指针运动事件（例如通过 XTEST），经认证的 X 客户端可触发此漏洞。在默认情况下，这两个扩展均启用。

    该缓冲区溢出可导致任意代码执行或拒绝服务。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/9c3880d0745acefc98ed37e79498dfbe558a0f40 （xorg-server-21.1.25） （CVE-2026-93519）

    在采用 PrependMode 的 RRChangeProviderProperty（） 中，new_value.size 设置为 len 而非 total_len。
    此外，old_data偏移计算会针对现有数据的 memcpy 使用 prop_value->size 而非 len。这会在预先添加属性数据时造成堆缓冲区溢出，原因是缓冲区尺寸过小且复制偏移不正确。

    这反映了一种缺陷模式，此模式之前已在 RRChangeOutputProperty 中修复，但并未应用到提供程序属性路径。

    经身份验证的 X 客户端可以通过在具有 RandR 提供程序（现代 GPU 上的标准配置）的系统上发送带有 PrependMode 的 RandR ChangeProviderProperty 请求来触发此漏洞。堆缓冲区溢出可导致任意代码执行或拒绝服务。已修复：xorg-server-21.1.25 和 xwayland-24.1.14修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/5dc9efd5a199 (CVE-2026-93521)

    在 glamor 的 CopyArea CPU-to-FBO 路径中，临时缓冲区 （tmp_bits） 的大小基于目标高度，但使用源坐标进行索引。当源区域高于目标区域时，写入会溢出分配的缓冲区。在使用 glamor/GPU 加速的系统上，经过身份验证的 X 客户端可以通过在深度不匹配（深度 24 到深度 32，反之亦然）的可绘制对象之间执行 CopyArea 操作来触发此漏洞，其中源高于目标。

    堆缓冲区溢出可导致任意代码执行或拒绝服务。此问题不影响 xorg-server-21.1.x已修复：xwayland-24.1.14修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/ad26c26bf795 (CVE-2026-93522)

    XI2 被动取消抓取路径 （XIPassiveUngrabDevice） 缺少抓取路径和旧 XI 路径中存在的修饰符验证。在不检查 AllModifiersMask 的情况下，客户端可提供超出范围的修饰符值，从而导致将修饰符用作索引时发生越界写入。

    经过认证的 X 客户端可通过发送包含超出范围修饰符值的 XIPassiveUngrabDevice 请求来触发此问题。越界写入可导致任意代码执行或拒绝服务。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/aa56160fa213d8767e7da0c076b5c8242703313b （xorg-server-21.1.25） （CVE-2026-93523）

    xkb/xkb.c 中的 CheckKeySyms（） 会以 SetMap 请求范围中的密钥的新密钥宽度填充 symsPerKey[] 验证数组，然后继续填充超出范围的密钥的条目。但是，第二个循环从索引 i = nKeySyms（第一个循环的计数器）开始，而不是 i = firstKeySym + nKeySyms。当 firstKeySym 很大而 nKeySyms 很小时，第二个循环会使用现有映射中的旧宽度覆盖 symsPerKey[target]。

    然后，CheckKeyActions（） 根据过时的旧宽度验证线路操作计数并接受它。在
    _XkbSetMap（） 中，SetKeySyms（） 会扩大密钥（将操作调整为 nGroups * newWidth） 的大小，但 SetKeyActions（） 随后会再次调整为旧计数。后续的 XkbGetMap 请求从较短的操作分配中读取 XkbKeyNumActions（） 条目（源自新的更宽 key_sym_map.width），从而导致越界堆读取。越界读取的字节被复制到 GetMap 回复中并发回请求客户端，从而造成有界堆信息泄露。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/927ee1282d21550807619521bee909ef62ed0571 （xorg-server-21.1.25） （CVE-2026-93524）

    GestureBuildSprite（） 通过 CopySprite（） 将原始 WindowPtr 值复制到手势 sprite 跟踪中，而不进行任何引用计数或生命周期管理。WindowGone（） 仅在窗口被破坏时修复触摸精灵跟踪 -- 从未检查或清理手势精灵跟踪。这会在手势精灵中留下过时的 WindowPtr 引用。

    当 DeliverOneGestureEvent（） 稍后通过 DeepestSpriteWin（&gi->sprite）->drawable.id 取消引用过时的 WindowPtr 时，会产生释放后使用。释放的 4 字节 （drawable.id） 可能被读回，从而可能泄漏有关所释放内存区域内容的信息。

    注意：https://lists.x.org/archives/xorg-announce/2026-October/003747.htmlNOTE: 已由以下人员修复：
    https://gitlab.freedesktop.org/xorg/xserver/-/commit/4c9c345d2a10baf956fdefa83bb88681f7c840cf （xorg-server-21.1.25） （CVE-2026-93536）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：xorg-x11-server-Xwayland、xorg-x11-server-Xwayland-devel (ALAS2023-2026-3261)

high Nessus 插件 ID 371914

版本 1.1