libinput 1.31.3 с корекция за уязвимост, водеща до изпълнение на код от root

Публикувана коригирана версия libinput 1.31.3 — библиотека за обработка на входни устройства, използвана от съвременните Linux десктопи в комбинация с Wayland композитори и X.Org. libinput отговаря за откритие на устройства, обработка на събития и абстракция на входа: от мишки и тъчпадове до графични таблети. Проектът се разпространява под лиценз MIT.

Основната промяна в версията е корекция на уязвимост в помощната програма udev libinput-device-group. Проблемът беше свързан с това, че стойността PHYS, получена от устройството, попадаше в изхода за udev под формата на низ KEY=VALUE без достатъчно почистване на специални символи. Злонамерено устройство, създадено чрез uinput или uhid, можеше да вмъкне символ за нов ред в PHYS, в резултат на което udev интерпретираше изхода като две отделни променливи. В резултат на това можеше да се извърши произволен код с права root.

Уязвимостта не е дистанционна: нападателят има нужда от локален достъп и възможност да създаде злонамерено uinput или uhid устройство. Обикновено достъпът до такива интерфейси е ограничен до root, но рискът се появява на системи с по-широки udev правила. Като пример се споменават конфигурации, където достъпът се отваря за обикновени потребители в системата за поддръжка на игрови контролери и Steam Input, например чрез пакета steam-devices или подобни правила.

Важно уточнение: по-рано в новините фигурираше версия libinput 1.31.2, но в официалния advisory поправените версии са посочени libinput 1.31.3 и 1.30.4. Засегнати са версиите до 1.31.2 и 1.30.3 включително; CVE по време на публикуването все още не беше назначен.

На потребителите се препоръчва да обновят системния пакет libinput чрез стандартния пакетен мениджър на дистрибуцията. В Arch Linux пакета libinput 1.31.3-1 вече е наличен в репозитория Extra на 4 юни 2026 г., в Debian версията 1.31.3-1 е приета в unstable в същия ден.

Източник: linux.org.ru