V knihovně libinput byla zjištěna řada zranitelností:
CVE-2026-35093: Únik mimo sandbox v pluginech. Chyba v načítání pluginů umožnila načítání předkompilovaného bajtkódu, který nebyl zkontrolován během běhu, a tím nebyl omezen sandboxem. To vytváří možnost pro útok, který umožňuje škodlivému pluginu získat neomezený přístup k systému, v závislosti na oprávněních uživatele.
CVE-2026-35094: Použití po uvolnění paměti, vedoucí k úniku důvěrných informací. Plugin, který volá funkci Lua __gc() ponechává „visící“ ukazatel v názvu zařízení, který může být vypsán do logu. V závislosti na hodnotě v paměti to může vést k odhalení důvěrných informací.
Zranitelnosti se týkají všech distribucí s libinput verze 1.30.0 a novější. Použití Lua pluginů je však možné pouze tehdy, pokud je načte kompozitor. V současné době se to týká GNOME 50’s mutter, KWin (git) a Niri (git).
wlroots, sway a river nejsou vystaveny útoku.
Distribuce Fedora 43 a 44 používají možnost -Dautoload-plugins, která vede k načítání pluginů bez ohledu na podporu kompozitoru. Arch, OpenSuSE, Ubuntu, Debian a NixOS tuto možnost nemají a/nebo používají starší verze libinput.
Zasažené verze: libinput 1.31.0, 1.30.[0-2]
Opravené verze: libinput 1.31.1, 1.30.3
Zdroj: linux.org.ru
