A libinput könyvtárban több sebezhetőséget fedeztek fel:
CVE-2026-35093: Kijárás a sandboxból a pluginekben. A pluginbetöltő hibája lehetővé tette előre lefordított bájt-kódok betöltését, amelyek nem mennek át a futásidejű ellenőrzésen, így nem korlátozódnak a sandboxra. Ez lehetőséget ad a támadásra, amely lehetővé teszi a rosszindulatú plugin számára, hogy korlátlan hozzáférést kapjon a rendszerhez, a felhasználói jogosultságoktól függően.
CVE-2026-35094: Használat felszabadítás után, ami érzékeny információk szivárgásához vezet. A plugin, amely a Lua __gc() függvényt hívja, megmarad „függő” mutatóval a készülék nevében, amelyet logba lehet írni. A memória elágazásában lévő értéktől függően ez érzékeny információk kiszivárgásához vezethet.
A sebezhetőségek minden, 1.30.0 vagy újabb libinput verziót használó disztribúciót érintenek. A Lua pluginek azonban csak akkor használhatók, ha a kompozitor betölti azokat. Jelenleg ez a GNOME 50-es mutterre vonatkozik, KWin (git) és Niri (git).
A wlroots, sway és river nem támadható.
A Fedora 43 és 44 disztribúciók a -Dautoload-plugins opciót használják, amely a pluginek betöltését eredményezi a kompozitor támogatásától függetlenül. Az Arch, OpenSuSE, Ubuntu, Debian és NixOS nem rendelkezik ezzel az opcióval és/vagy régebbi libinput verziókat használ.
Érintett verziók: libinput 1.31.0, 1.30.[0-2]
Javított verziók: libinput 1.31.1, 1.30.3
Forrás: linux.org.ru
