Der libinput-bibliotek er blevet opdaget med flere sårbarheder:
CVE-2026-35093: Udgang uden for sandkassen i plugins. En fejl i plugin-loaderen tillod indlæsning af forudkompileret bytekode, som ikke bliver verificeret under kørsel og derved ikke begrænses af sandkassen. Dette skaber en mulighed for angreb, der tillader et ondsindet plugin at få ubegribelig adgang til systemet, afhængig af brugerens rettigheder.
CVE-2026-35094: Brug efter frigivelse af hukommelse, der fører til lækage af fortrolige oplysninger. Et plugin, der kalder Lua-funktionen __gc() efterlader en hængende peger på en enhedsnavn, som kan logges. Afhængig af værdien i hukommelsescellen kan dette føre til afsløring af fortrolige oplysninger.
Sårbarhederne påvirker alle distributioner med libinput version 1.30.0 eller nyere. Men brugen af Lua-plugins er kun mulig, hvis compositøren indlæser dem. I øjeblikket berører dette GNOME 50's mutter, KWin (git) og Niri (git).
wlroots, sway og river er ikke sårbare for angreb.
Distributioner som Fedora 43 og 44 bruger indstillingen -Dautoload-plugins, som fører til indlæsning af plugins uafhængigt af compositørens support. Arch, OpenSuSE, Ubuntu, Debian og NixOS har ikke denne indstilling og/eller bruger ældre versioner af libinput.
Berørte versioner: libinput 1.31.0, 1.30.[0-2]
Reparerede versioner: libinput 1.31.1, 1.30.3
Kilde: linux.org.ru
