In der libinput-Bibliothek wurden mehrere SicherheitsanfÀlligkeiten entdeckt:
CVE-2026-35093: Sandbox-Ăberlauf in Plugins. Ein Fehler im Plugin-Loader ermöglicht das Laden von vorcompiliertem Bytecode, der zur Laufzeit nicht validiert wird und somit nicht in der Sandbox eingeschrĂ€nkt ist. Dies eröffnet die Möglichkeit eines Angriffs, bei dem ein schĂ€dliches Plugin uneingeschrĂ€nkten Zugang zum System erlangen kann, abhĂ€ngig von den Benutzerrechten.
CVE-2026-35094: Verwendung nach Freigabe von Speicher, was zu einer Offenlegung vertraulicher Informationen fĂŒhrt. Ein Plugin, das die Lua-Funktion __gc() aufruft, hinterlĂ€sst einen 'hĂ€ngenden' Zeiger im GerĂ€tenamen, der in das Protokoll ausgegeben werden kann. AbhĂ€ngig vom Wert in der Speicherzelle kann dies zur Offenlegung vertraulicher Informationen fĂŒhren.
Die SicherheitsanfĂ€lligkeiten betreffen alle Distributionen mit libinput Version 1.30.0 und höher. Allerdings ist die Verwendung von Lua-Plugins nur möglich, wenn der Kompositor diese lĂ€dt. Derzeit betrifft das GNOME 50âs mutter, KWin (git) und Niri (git).
wlroots, sway und river sind nicht anfĂ€llig fĂŒr Angriffe..
Die Distributionen Fedora 43 und 44 verwenden die Option -Dautoload-plugins, die zum Laden von Plugins fĂŒhrt, unabhĂ€ngig von der UnterstĂŒtzung durch Composer. Arch, OpenSuSE, Ubuntu, Debian und NixOS haben diese Option nicht und/oder verwenden Ă€ltere Versionen von libinput.
Betroffene Versionen: libinput 1.31.0, 1.30.[0-2]
Korrigierte Versionen: libinput 1.31.1, 1.30.3
Quelle: linux.org.ru
