libinput 1.31.3, mis on parandatud haavatavuse tõttu, mis võimaldab koodi käivitada root õigustega

Avaldatud parandav väljaanne libinput 1.31.3 — sisendseadmete töötlemise teek, mida kasutavad kaasaegsed Linuxi töölauad koos Waylandi koostajate ja X.Org-iga. libinput vastutab seadmete tuvastamise, sündmustöötluse ja sisestamise abstraktsiooni eest: hiirtest ja puuteplaatidest graafikplaadide juurde. Projekt jagatakse MIT litsentsi alusel.

Väljaande peamine muudatus — haavatavuse parandamine udev abiprogrammis libinput-device-group. Probleem oli seotud sellega, et seadme poolt saadud PHYS väärtus jõudis udev-i väljundisse KEY=VALUE stringina piisava spetsiaalsete märkide puhastamiseta. Kuritahtlik seade, mis loodi kaudu uinput või uhid, sai sisestada PHYS-i rida vahetusmärgi, mistõttu udev käsitles väljundit kui kahte eraldi muutuja. Selle tulemusena võis see viia juhusliku koodi täitmiseni root õigustes.

Haavatavus ei ole kaugjuurdepääsetav: ründajal on vajalik kohaliku juurdepääsu olemasolu ja võimalus luua kahjuliku uinput- või uhid-seadme. Tavaliselt on juurdepääs sellistele liidestele piiratud root'-iga, kuid risk tekib süsteemides, kus on laiemad udev-reeglid. Näiteks mainitakse konfiguratsioone, kus juurdepääs avaneb tavalistele sisselogitud kasutajatele mängu kontrollijate ja Steam Inputi toe tõttu, näiteks paketi kaudu steam-devices või sarnaste reeglite kaudu.

Oluline täpsustus: varasemates uudistes mainiti versiooni libinput 1.31.2, kuid ametlikus advisory's on parandatud versioonideks loetletud libinput 1.31.3 ja 1.30.4. Puudutatavad versioonid on kuni 1.31.2 ja 1.30.3 kaasa arvatud; CVE-d ei olnud avaldamise hetkeks veel määratud.

Kasutajatele soovitatakse uuendada süsteemipaketti libinput oma jaotuse tavalise pakihalduri kaudu. Arch Linuxis pakett libinput 1.31.3-1 on juba ilmnenud Extra hoidlas 4. juunil 2026, Debianis on versioon 1.31.3-1 vastuvõetud unstable's samal päeval.

Allikas: linux.org.ru