libinput 1.31.3 с поправка на уязвимост, водеща до изпълнение на код от root

Публикуван коригиращ статус libinput 1.31.3 — библиотека за обработка на входни устройства, използвана в съвременните Linux десктопи в комбинация с композитори Wayland и X.Org. libinput отговаря за откритие на устройства, обработка на събития и абстракция на входа: от мишки и тъчпадове до графични таблети. Проектът се разпространява под MIT лиценз.

Основната промяна на изданието — корекция на уязвимост в помощната програма udev libinput-device-group. Проблемът беше свързан с това, че стойността PHYS, получена от устройството, се появяваше в изхода за udev като низ KEY=VALUE без достатъчно почистване на специални символи. Злонамерено устройство, създадено чрез uinput или uhid, можеше да вмъкне символ за нов ред в PHYS, поради което udev възприемаше изхода като две отделни променливи. В резултат на това това можеше да доведе до изпълнение на произволен код с права на root.

Уязвимостта не е отдалечена: атакуващият трябва да има локален достъп и възможност да създаде злонамерено uinput или uhid устройство. Обикновено достъпът до такива интерфейси е ограничен до root, но рискът се увеличава в системи с по-широки udev правила. Като пример се споменава конфигурации, при които достъпът се предоставя на обикновени потребители, за да се поддържат игрови контролери и Steam Input, например чрез пакет steam-devices или подобни правила.

Важно уточнение: по-рано в новините се споменаваше версия libinput 1.31.2, но в официалния advisory е посочено, че коригираните версии са libinput 1.31.3 и 1.30.4. Засягани са версиите до 1.31.2 и 1.30.3 включително; CVE на момента на публикуване все още не е назначен.

На потребителите се препоръчва да актуализират системния пакет libinput чрез стандартния мениджър на пакети на дистрибуцията. В Arch Linux пакет libinput 1.31.3-1 вече е наличен в репозитория Extra на 4 юни 2026 година, в Debian версия 1.31.3-1 е приета в unstable в същия ден.

Източник: linux.org.ru