Korrigerende version offentliggjort libinput 1.31.3 — en input-enhedsbehandlingsbibliotek, der anvendes af moderne Linux-skriveborde i forbindelse med Wayland-sammensættere og X.Org. libinput er ansvarlig for at opdage enheder, behandle hændelser og abstrahere input: fra mus og touchpads til grafiktabletter. Projektet distribueres under MIT-licensen.
Den primære ændring i udgivelsen er rettelse af en sårbarhed i udev-hjælpeprogrammet libinput-device-group. Problemet var relateret til, at værdien PHYS, der blev modtaget fra enheden, blev sendt til output for udev som en KEY=VALUE-streng uden tilstrækkelig rengøring af særlige tegn. En ondsindet enhed, der blev oprettet via uinput eller uhid, kunne indsætte et linjeskift-tegn i PHYS, hvilket fik udev til at opfatte output som to separate variable. Dette kunne resultere i, at vilkårlig kode blev udført med root-rettigheder.
Sårbarheden er ikke fjernbetjent: en angriber skal have lokal adgang og mulighed for at oprette en ondsindet uinput- eller uhid-enhed. Adgang til sådanne grænseflader er normalt begrænset til root, men risikoen opstår på systemer med mere åbne udev-regler. Et eksempel nævnes, hvor adgang gives til almindelige logget-in brugere for at støtte spilcontrollere og Steam Input, f.eks. gennem pakken steam-devices eller lignende regler.
Vigtig opklaring: tidligere i nyhederne blev versionen libinput 1.31.2, men i den officielle advisory er de rettede versioner angivet libinput 1.31.3 og 1.30.4. Berørte versioner op til 1.31.2 og 1.30.3 inklusiv; CVE var endnu ikke tildelt på offentliggørelsestidspunktet.
Brugere anbefales at opdatere systempakken libinput gennem den interne pakkehåndtering af distributionen. I Arch Linux pakke er libinput 1.31.3-1 allerede tilgængeligt i Extra-repositoryet den 4. juni 2026, og i Debian er versionen 1.31.3-1 godkendt til unstable den samme dag.
Kilde: linux.org.ru
