In der libinput-Bibliothek wurden mehrere Sicherheitsanfälligkeiten entdeckt:
CVE-2026-35093: Sandbox-Überlauf in Plugins. Ein Fehler im Plugin-Loader ermöglicht das Laden von vorcompiliertem Bytecode, der zur Laufzeit nicht validiert wird und somit nicht in der Sandbox eingeschränkt ist. Dies eröffnet die Möglichkeit eines Angriffs, bei dem ein schädliches Plugin uneingeschränkten Zugang zum System erlangen kann, abhängig von den Benutzerrechten.
CVE-2026-35094: Verwendung nach Freigabe von Speicher, was zu einer Offenlegung vertraulicher Informationen führt. Ein Plugin, das die Lua-Funktion __gc() aufruft, hinterlässt einen 'hängenden' Zeiger im Gerätenamen, der in das Protokoll ausgegeben werden kann. Abhängig vom Wert in der Speicherzelle kann dies zur Offenlegung vertraulicher Informationen führen.
Die Sicherheitsanfälligkeiten betreffen alle Distributionen mit libinput Version 1.30.0 und höher. Allerdings ist die Verwendung von Lua-Plugins nur möglich, wenn der Kompositor diese lädt. Derzeit betrifft das GNOME 50’s mutter, KWin (git) и Niri (git).
wlroots, sway und river sind nicht anfällig für Angriffe..
Die Distributionen Fedora 43 und 44 verwenden die Option -Dautoload-plugins, die zum Laden von Plugins führt, unabhängig von der Unterstützung durch Composer. Arch, OpenSuSE, Ubuntu, Debian und NixOS haben diese Option nicht und/oder verwenden ältere Versionen von libinput.
Betroffene Versionen: libinput 1.31.0, 1.30.[0-2]
Korrigierte Versionen: libinput 1.31.1, 1.30.3
Quelle: linux.org.ru
