In der Bibliothek libinput wurden mehrere Schwachstellen festgestellt:
CVE-2026-35093: Sandbox-Umgehung in Plugins. Ein Fehler im Plugin-Loader ermöglichte das Laden von vorcompiliertem Bytecode, der zur Laufzeit nicht überprüft wird und somit nicht durch die Sandbox eingeschränkt ist. Dies eröffnet Möglichkeiten für Angriffe, durch die ein bösartiges Plugin unbefugten Zugriff auf das System erlangen kann, abhängig von den Benutzerprivilegien.
CVE-2026-35094: Verwendung nach Freigabe von Speicher, was zu einer Offenlegung vertraulicher Informationen führt. Ein Plugin, das die Lua-Funktion __gc() aufruft, hinterlässt einen "hängenden" Zeiger im Gerätenamen, der in das Protokoll ausgegeben werden kann. Abhängig von dem Wert im Speicher kann dies zu einer Offenlegung vertraulicher Informationen führen.
Die Schwachstellen betreffen alle Distributionen mit libinput Version 1.30.0 und neuer. Die Verwendung von Lua-Plugins ist jedoch nur möglich, wenn der Compositor sie lädt. Derzeit betrifft dies GNOME 50’s mutter, KWin (git) und Niri (git).
wlroots, sway und river sind nicht anfällig für Angriffe..
Die Distributionen Fedora 43 und 44 verwenden die Option -Dautoload-plugins, die dazu führt, dass Plugins unabhängig von der Unterstützung durch den Compositor geladen werden. Arch, OpenSuSE, Ubuntu, Debian und NixOS haben diese Option nicht und/oder verwenden ältere Versionen von libinput.
Betroffene Versionen: libinput 1.31.0, 1.30.[0-2]
Behobene Versionen: libinput 1.31.1, 1.30.3
Quelle: linux.org.ru
