Veröffentlichung eines Korrektur-Updates libinput 1.31.3 — eine Bibliothek zur Verarbeitung von Eingabegeräten, die in modernen Linux-Desktops zusammen mit Wayland-Compositors und X.Org verwendet wird. libinput ist verantwortlich für die Erkennung von Geräten, die Verarbeitung von Ereignissen und die Abstraktion von Eingaben: von Mäusen und Touchpads bis hin zu Grafiktabletts. Das Projekt wird unter der MIT-Lizenz verbreitet.
Die wichtigste Änderung der Veröffentlichung — Behebung einer Sicherheitsanfälligkeit in der udev-Hilfsanwendung libinput-device-group. Das Problem hing damit zusammen, dass der vom Gerät erhaltene PHYS-Wert in der Ausgabe für udev als KEY=VALUE-String ohne ausreichende Bereinigung von Sonderzeichen erschien. Ein bösartiges Gerät, das über uinput oder uhid, hätte ein Zeilenumbruchzeichen in PHYS einfügen können, wodurch udev die Ausgabe als zwei separate Variablen interpretierte. Dies hätte zur Ausführung beliebigen Codes mit Root-Rechten führen können.
Die Sicherheitsanfälligkeit ist nicht remote: Der Angreifer benötigt lokalen Zugriff und die Möglichkeit, ein bösartiges uinput- oder uhid-Gerät zu erstellen. Normalerweise ist der Zugriff auf solche Schnittstellen auf Root beschränkt, aber das Risiko tritt auf Systemen mit weitreichenden udev-Regeln auf. Beispiele sind Konfigurationen, die den Zugriff für normale angemeldete Benutzer öffnen, um Spiel-Controller und Steam Input zu unterstützen, beispielsweise über das Paket steam-devices oder ähnliche Regeln.
Wichtiger Hinweis: In früheren Nachrichten wurde die Version libinput 1.31.2, erwähnt, aber im offiziellen Advisory sind die behobenen Versionen angegeben. libinput 1.31.3 und 1.30.4Betroffene Versionen bis 1.31.2 und 1.30.3 inklusive; CVE war zum Zeitpunkt der Veröffentlichung noch nicht zugewiesen.
Benutzern wird empfohlen, das Systempaket libinput über den Standard-Paketmanager ihrer Distribution zu aktualisieren. In Arch Linux das Paket ist libinput 1.31.3-1 bereits im Extra-Repository am 4. Juni 2026 erschienen, in Debian wurde die Version 1.31.3-1 am selben Tag in unstable angenommen.
Quelle: linux.org.ru
