U biblioteci libinput otkrivene su brojne ranjivosti:
CVE-2026-35093: Izlazak iz okvira u pluginima. Greška u učitavaču plugina omogućila je učitavanje prethodno kompajliranog bajt-koda koji ne prolazi provjeru u vrijeme izvođenja i tako nije ograničen sandboxingom. To stvara mogućnost napada kojim zloćudni plugin može dobiti neograničen pristup sustavu, ovisno o privilegijama korisnika.
CVE-2026-35094: Korištenje nakon oslobađanja memorije, što može dovesti do curenja povjerljivih informacija. Plugin koji poziva funkciju Lua __gc() ostavlja „viseći” pokazivač u imenu uređaja koji se može zabilježiti u logu. Ovisno o vrijednosti u memorijskoj ćeliji, to može dovesti do otkrivanja povjerljivih informacija.
Ranjivosti se odnose na sve distribucije s libinput verzije 1.30.0 i novijih. Ipak, korištenje Lua plugina moguće je samo ako ih kompozitor učita. Trenutno to se odnosi na GNOME 50-ova mutter, KWin (git) i Niri (git).
wlroots, sway i river nisu izloženi napadu.
Distribucije Fedora 43 i 44 koriste opciju -Dautoload-plugins, koja dovodi do učitavanja pluginova neovisno o podršci kompozitora. Arch, OpenSuSE, Ubuntu, Debian i NixOS nemaju ovu opciju i/ili koriste starije verzije libinput.
Pogođene verzije: libinput 1.31.0, 1.30.[0-2]
Ispravljene verzije: libinput 1.31.1, 1.30.3
Izvor: linux.org.ru
