Objavljen ispravak izdanja libinput 1.31.3 — biblioteka za obradu ulaznih uređaja koja se koristi u modernim Linux radnim okruženjima u kombinaciji s Wayland kompozitorima i X.Org. libinput je odgovoran za prepoznavanje uređaja, obradu događaja i apstrakciju ulaza: od miševa i touchpad-a do grafičkih tableta. Projekt je distribuiran pod MIT licencom.
Glavna promjena izdanja je ispravak ranjivosti u udev pomoćnom programu libinput-device-group. Problem je bio povezan s time što se PHYS vrijednost, dobivena s uređaja, pojavila u izlazu za udev kao niz KEY=VALUE bez dovoljno čišćenja posebnih simbola. Zlonamjerni uređaj stvoren putem uinput ili uhid, mogao je ubaciti novi red u PHYS, zbog čega je udev percipirao izlaz kao dvije odvojene varijable. Kao rezultat toga, to je moglo dovesti do izvršenja proizvoljnog koda s privilegijama root korisnika.
Ranjivost nije daljinska: napadaču je potreban lokalni pristup i mogućnost stvaranja zlonamjernog uinput ili uhid uređaja. Obično je pristup tim sučeljima ograničen na root, ali rizik se javlja na sustavima s liberalnijim udev pravilima. Kao primjer navode se konfiguracije u kojima se pristup otvara običnim prijavljenim korisnicima radi podrške za igraće kontrolere i Steam Input, npr. putem paketa steam-devices ili slična pravila.
Važno pojašnjenje: ranije se u vijestima spominjala verzija libinput 1.31.2, ali u službenom savjetu ispravljene verzije su navedene libinput 1.31.3 i 1.30.4. Pogođene su verzije do 1.31.2 i 1.30.3 uključujući; CVE nije bio dodijeljen u trenutku objavljivanja.
Korisnicima se preporučuje da ažuriraju sistemski paket libinput putem standardnog alata za upravljanje paketima distribucije. U Arch Linuxu paket libinput 1.31.3-1 već je dostupan u Extra repozitoriju 4. lipnja 2026., dok je u Debian verzija 1.31.3-1 prihvaćena u unstable na isti dan.
Izvor: linux.org.ru
