Une faille de sécurité découverte dans le serveur d'affichage X.org permet à un attaquant local disposant de droits standards de réaliser une escalade de privilèges pour obtenir les droits de root. Le terme attaquant local signifiant que l'attaquant doit être connecté au système, mais il n'a pas besoin d'être présent physiquement. Il est peut être connecté à distance via SSH par exemple.

Le problème se manifeste lorsque les droits sur -modulepath et -logfile ne sont pas correctement positionnés.

Les distributions Linux qui utilisent un serveur d'affichage X.org sont vulnérables. OpenBSD l'est également. La mise au point d'un correctif par l'équipe de X.org est en cours et devrait être disponible très prochainement.

Si parfois exploiter une faille est difficile et possible seulement à des informaticiens chevronnés, exploiter cette faille de X.org est vraiment à la portée de tous, comme le fait remarquer un tweet de Matthew Hickey, fondateur de la société de sécurité britannique Hacker House.

De fait des exploits commencent à fleurir un peu partout, comme celui-ci sur GitHub, qui attaque OpenBSD via une crontab. .