Megjelent a javító kiadás libinput 1.31.3 — bemeneti eszközök feldolgozó könyvtára, amelyet a modern Linux asztali környezetek használnak a Wayland összeszerelőkkel és az X.Org-gal. A libinput felelős az eszközök felfedezéséért, az események feldolgozásáért és a bemenetek absztrakciójáért: az egerektől és érintőpadoktól kezdve a grafikusan rajzoló táblákig. A projekt MIT licenc alatt terjesztett.
A kiadás fő változása — sebezhetőség javítása a udev segédprogramban libinput-device-group. A probléma az volt, hogy a PHYS értéke, amelyet az eszköztől kaptak, a KEY=VALUE formátumban került az udev kimenetébe, anélkül, hogy elegendő tisztítást végeztek volna a speciális karaktereken. Egy rosszindulatú eszköz, amelyet az uinput vagy uhid, be tudott iktatni egy sortörést a PHYS-be, így az udev a kimenetet két külön változóként érzékelte. Ennek következtében ez lehetővé tehette a tetszőleges kód végrehajtását root jogosultságokkal.
A sebezhetőség nem távoli: a támadónak helyi hozzáférésre van szüksége, és képesnek kell lennie rosszindulatú uinput- vagy uhid-eszköz létrehozására. Általában ezekhez a felületekhez a hozzáférés rootra korlátozódik, de a kockázat megjelenik azon rendszereken, ahol szélesebb udev szabályok vannak. Példaként említik azokat a konfigurációkat, ahol a hozzáférést a rendszerbe belépett normál felhasználóknak engedélyezik a játékvezérlők és a Steam Input támogatása érdekében, például a steam-devices vagy hasonló szabályok révén.
Fontos tisztázás: korábban a hírekben szerepelt a libinput 1.31.2, de a hivatalos tájékoztatóban a javított verziók között szerepelnek libinput 1.31.3 és 1.30.4. Az érintett verziók a 1.31.2 és 1.30.3 tartalmazzák; a CVE az írás időpontjában még nem volt hozzárendelve.
A felhasználóknak ajánlott frissíteniük a system csomagot libinput a disztribúció standard csomagkezelőjén keresztül. Arch Linux esetében csomag libinput 1.31.3-1 már megjelent az Extra tárolóban 2026. június 4-én, a Debian verziója 1.31.3-1 azon a napon az unstable-be került.
Forrás: linux.org.ru
