libinput 1.31.3 এমন একটি দুর্বলতা সংশোধন করে যা রুট কোড এক্সিকিউশনের কারণ হতে পারতো।

একটি সংশোধনী বিজ্ঞপ্তি প্রকাশিত হয়েছে। লিবইনপুট ১.৩১.৩ — আধুনিক ইনপুট ডিভাইস প্রসেসিং-এ ব্যবহৃত একটি লাইব্রেরি Linuxওয়েল্যান্ড কম্পোজার এবং এক্স.অর্গ (X.Org)-এর সাথে একত্রে ডেস্কটপের জন্য লিবইনপুট (libinput) ডিভাইস শনাক্তকরণ, ইভেন্ট হ্যান্ডলিং এবং ইনপুট অ্যাবস্ট্রাকশনের দায়িত্বে রয়েছে: মাউস ও টাচপ্যাড থেকে শুরু করে গ্রাফিক্স ট্যাবলেট পর্যন্ত। প্রকল্পটি এমআইটি (MIT) লাইসেন্সের অধীনে বিতরণ করা হয়।

রিলিজের প্রধান পরিবর্তনটি হলো দুর্বলতার সমাধান udev হেল্পার প্রোগ্রামে লিবইনপুট-ডিভাইস-গ্রুপসমস্যাটি এই কারণে হয়েছিল যে, ডিভাইস থেকে প্রাপ্ত PHYS মানটি যথাযথ বিশেষ অক্ষর অপসারণ ছাড়াই udev-এ KEY=VALUE স্ট্রিং হিসেবে আউটপুট করা হচ্ছিল। এর মাধ্যমে তৈরি একটি ক্ষতিকারক ডিভাইস... ইনপুট বা উহিদএর ফলে PHYS ফাইলে একটি নিউলাইন ক্যারেক্টার যুক্ত হতে পারে, যা udev-কে আউটপুটটিকে দুটি পৃথক ভেরিয়েবল হিসেবে ব্যাখ্যা করতে বাধ্য করবে। এর পরিণতিতে রুট প্রিভিলেজ সহ যথেচ্ছ কোড এক্সিকিউশন হতে পারে।

এই দুর্বলতাটি দূরবর্তী নয়: একজন আক্রমণকারীর স্থানীয় অ্যাক্সেস এবং একটি ক্ষতিকারক uinput বা uhid ডিভাইস তৈরি করার ক্ষমতা প্রয়োজন। এই ধরনের ইন্টারফেসে অ্যাক্সেস সাধারণত রুটের জন্য সীমাবদ্ধ থাকে, কিন্তু বিস্তৃত udev নিয়মযুক্ত সিস্টেমে এই ঝুঁকি দেখা দেয়। উদাহরণস্বরূপ এমন কনফিগারেশনের কথা বলা হয়েছে যেখানে প্যাকেজের মাধ্যমে গেম কন্ট্রোলার এবং স্টিম ইনপুট সমর্থন করার জন্য সাধারণ লগ-ইন করা ব্যবহারকারীদের অ্যাক্সেস দেওয়া হয়। বাষ্প-যন্ত্র অথবা অনুরূপ নিয়মাবলী।

গুরুত্বপূর্ণ স্পষ্টীকরণ: সংবাদে পূর্বে প্রকাশিত সংস্করণটি ছিল লিবইনপুট ১.৩১.৩কিন্তু আনুষ্ঠানিক বিজ্ঞপ্তিতে সংশোধিত সংস্করণগুলো নির্দেশ করা হয়েছে। লিবইনপুট ১.৩১.৩ и 1.30.4প্রভাবিত সংস্করণগুলি পর্যন্ত 1.31.2 и 1.30.3 প্রকাশনার সময় পর্যন্ত CVE বরাদ্দ করা হয়নি।

ব্যবহারকারীদের তাদের সিস্টেম প্যাকেজ আপডেট করার পরামর্শ দেওয়া হচ্ছে। libinput ডিস্ট্রিবিউশনের অন্তর্নির্মিত প্যাকেজ ম্যানেজারের মাধ্যমে। আর্চ-এ Linux প্যাকেজ লিবইনপুট ১.৩১.৩-১ ৪ জুন, ২০২৬ তারিখে এক্সট্রা রিপোজিটরিতে ইতিমধ্যেই প্রকাশিত হয়েছে, Debian সংস্করণ 1.31.3-1 একই দিনে আনস্টেবল-এ গৃহীত।

উত্স: linux.org.ru