Уведомление за сигурност на libinput

В библиотеката libinput са открити няколко уязвимости:

1. CVE-2026-35093: Изход извън песачницата в плъгините. Грешка в зареждача на плъгини позволи зареждането на предварително компилиран байт-код, който не преминава проверка по време на изпълнение и по този начин не е ограничен от песачницата. Това създава възможност за атака, която позволява на злонамерен плъгин да получи неограничен достъп до системата, в зависимост от правата на потребителя.

2. CVE-2026-35094: Използване след освобождаване на памет, водещо до изтичане на конфиденциална информация. Плъгинът, който извиква функцията Lua __gc() оставя «висящ» указател в името на устройството, който може да бъде изведен в лог. В зависимост от стойността в паметта, това може да доведе до разкриване на конфиденциална информация.

Уязвимостите засягат всички дистрибутиви с libinput версия 1.30.0 и по-нови. Въпреки това, използването на Lua-плъгини е възможно само ако композиторът ги зарежда. В момента това касае GNOME 50’s mutter, KWin (git) и Niri (git).
wlroots, sway и river не са уязвими.

Дистрибуциите на Fedora 43 и 44 използват опцията -Dautoload-plugins, която води до зареждането на плъгини, независимо от поддръжката на композитора. Arch, OpenSuSE, Ubuntu, Debian и NixOS нямат тази опция и/или използват по-стари версии на libinput.

Засегнати версии: libinput 1.31.0, 1.30.[0-2]
Коригирани версии: libinput 1.31.1, 1.30.3

Източник: linux.org.ru