libinput 1.31.3, kus on parandatud haavatavus, mis viib root-koodi täitmiseni

Avaldati parandav versioon libinput 1.31.3 — sisendseadmete töötlemise raamatukogu, mida kasutavad kaasaegsed Linuxi lauaarvutid koos Waylandi koostajate ja X.Org-graafikaga. libinput vastutab seadmete tuvastamise, sündmuste töötlemise ja sisendi abstraktsiooni eest: hiirtest ja puuteplaatidest kuni graafiliste plaanšettideni. Projekt on litsentseeritud MIT litsentsiga.

Peamine muudatus väljalaskes — haavatavuse parandamine udev abiprogrammis libinput-device-group. Probleem oli seotud sellega, et PHYS väärtus, mis saadud seadmest, jõudis udev väljundisse koos KEY=VALUE stringiga, kus ei olnud piisavalt puhastatud erimärkidest. Kahjulik seade, mis loodi läbi uinput või uhid, võis PHYS-i asetada reavahetuse sümboli, mistõttu udev tõlgendas väljundit kahena eraldi muutujana. Selle tulemuseks oleks võinud olla juhusliku koodi täitmine root õigustes.

Haavatavus ei ole kaugjuhtimispuldist: ründajal on vajalik kohalik juurdepääs ja võimalus luua kahjulik uinput- või uhid-seade. Tüüpiliselt on juurdepääs sellistele liidesevõtetele piiratud rootiga, kuid riskid võivad ilmneda süsteemides, kus on laiemad udev reeglid. Näiteks tuuakse esile konfiguratsioonid, kus juurdepääs on lubatud tavakasutajatele, et toetada mängupultide ja Steam Inputi, näiteks paketi kaudu steam-devices või sarnased reeglid.

Oluline täpsustus: varem oli uudistes mainitud versioon libinput 1.31.2, kuid ametlikus nõustamises on parandatud versioonid loetletud libinput 1.31.3 ja 1.30.4. Puudutatud versioonid kuni 1.31.2 ja 1.30.3 sealhulgas; CVE oli avaldamise ajal veel määramata.

Kasutajatele soovitatakse värskendada süsteemipaketti libinput oma jaotuse pakihalduri kaudu. Arch Linuxis pakett libinput 1.31.3-1 on juba ilmunud Extra kogu 4. juunil 2026, Debianis on versioon 1.31.3-1 vastu võetud unstable samal päeval.

Allikas: linux.org.ru