В библиотеката libinput са установени няколко уязвимости:
CVE-2026-35093: Изход извън пясъчника в плъгините. Грешка в зареждача на плъгини е позволила зареждането на предварително компилиран байт-код, който не минава проверка по време на изпълнение и по този начин не се ограничава от пясъчника. Това създава възможност за атака, която позволява на злонамерен плъгин да получи неограничен достъп до системата, в зависимост от привилегиите на потребителя.
CVE-2026-35094: Използване след освобождаване на памет, водещо до изтичане на конфиденциална информация. Плъгин, извикващ функцията Lua __gc() оставя висящ указател в името на устройството, който може да бъде логнат. В зависимост от стойността в клетката за памет това може да доведе до разкриване на конфиденциална информация.
Уязвимостите засягат всички дистрибуции с libinput версия 1.30.0 и по-нови. Обаче използването на Lua-плъгини е възможно само ако композиторът ги зарежда. В момента това засяга mutter на GNOME 50, KWin (git) и Niri (git).
wlroots, sway и river не са податливи на атака.
Дистрибуциите Fedora 43 и 44 използват опцията -Dautoload-plugins, която води до зареждане на плъгини независимо от поддръжката на композитора. Arch, OpenSuSE, Ubuntu, Debian и NixOS нямат тази опция и/или използват по-стари версии на libinput.
Засегнати версии: libinput 1.31.0, 1.30.[0-2]
Поправени версии: libinput 1.31.1, 1.30.3
Източник: linux.org.ru
