Bylo vydáno opravené vydání libinput 1.31.3 — knihovna pro zpracování vstupních zařízení, která je využívána moderními desktopovými prostředími Linuxu ve spojení s Wayland kompozitory a X.Org. libinput se stará o detekci zařízení, zpracování událostí a abstrahování vstupu: od myší a touchpadů po grafické tablety. Projekt je šířen pod licencí MIT.
Hlavní změnou v tomto vydání je oprava zranitelnosti v pomocném programu udev libinput-device-group. Problém byl spojen s tím, že hodnota PHYS získaná z zařízení se dostala do výstupu pro udev jako řetězec KEY=VALUE bez dostatečného čištění speciálních znaků. Zlomyslné zařízení, vytvořené prostřednictvím uinput nebo uhid, mohlo vložit do PHYS znak konce řádku, což způsobilo, že udev vnímal výstup jako dvě samostatné proměnné. V důsledku toho to mohlo vést k provádění libovolného kódu s právy root.
Zranitelnost není vzdálená: útočník potřebuje místní přístup a možnost vytvořit zlomyslné zařízení uinput nebo uhid. Přístup k těmto rozhraním je obvykle omezen na root, ale riziko se objevuje na systémech s volnějšími pravidly udev. Jako příklad se uvádějí konfigurace, kde je přístup otevřen běžným uživatelům přihlášeným do systému kvůli podpoře herních ovladačů a Steam Input, například prostřednictvím balíčku steam-devices nebo podobných pravidel.
Důležité upřesnění: v předchozích zprávách byla uvedena verze libinput 1.31.2, ale ve oficiálním advisory jsou opravené verze uvedeny libinput 1.31.3 a 1.30.4. Ovlivněny jsou verze do 1.31.2 a 1.30.3 včetně; CVE nebyl k datu publikace ještě přidělen.
Uživatelům se doporučuje aktualizovat systémový balíček libinput prostřednictvím standardního správce balíčků distribuce. V Arch Linuxu balíček libinput 1.31.3-1 již byl dostupný v repozitáři Extra dne 4. června 2026, v Debianu byla verze 1.31.3-1 přijata do unstable ve stejný den.
Zdroj: linux.org.ru
