{"id":181898,"date":"2026-06-04T14:48:17","date_gmt":"2026-06-04T12:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-libinput-pozvolyayushhaya-povysit-svoi-privilegii-v-sisteme"},"modified":"2026-06-04T14:48:17","modified_gmt":"2026-06-04T12:48:17","slug":"uyazvimost-v-libinput-pozvolyayushhaya-povysit-svoi-privilegii-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-libinput-pozvolyayushhaya-povysit-svoi-privilegii-v-sisteme","title":{"rendered":"Vulnerabilit\u00e0 in libinput che consente di elevare i privilegi nel sistema.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella libreria libinput, che fornisce uno stack di input unificato per Wayland e il server X.Org, \u00e8 stata rilevata una vulnerabilit\u00e0 (CVE non assegnato) che consente l'esecuzione di codice con privilegi di root tramite la connessione di un utente locale a un dispositivo virtuale di input, simulato nello spazio utente tramite uinput o uhid. Il problema \u00e8 stato risolto nelle versioni 1.31.3 e 1.30.4.<\/p>\n
La vulnerabilit\u00e0 \u00e8 presente nell'elaboratore udev del gruppo di dispositivi libinput e \n\u00e8 causata dalla mancanza di una corretta escapatura dei caratteri speciali negli attributi ricevuti dai dispositivi e trasmessi nel sottosistema udev sotto forma di \u00abchiave=valore\u00bb. Attraverso l'inserimento del carattere di nuova riga (\u00ab\n\u00bb) nell'attributo, si pu\u00f2 ottenere l'aggiunta della propria regola udev, ad esempio, eseguendo il comando uinput UI_SET_PHYS(\u00abpoc\n=\u00bb). Per eseguire comandi arbitrari con diritti di root, \u00e8 sufficiente inserire in questo modo una regola udev con la propriet\u00e0 \u00abREMOVE_CMD\u00bb che avvia il comando specificato dopo la disconnessione del dispositivo.<\/p>\n
Per sfruttare la vulnerabilit\u00e0, un attaccante deve avere accesso al dispositivo \/dev\/uinput o \/dev\/uhid. Di solito, l'accesso a uinput e uhid \u00e8 consentito solo all'utente root, ma alcune distribuzioni forniscono regole udev che permettono agli utenti non privilegiati di utilizzare uinput. Ad esempio, in Fedora, tali regole vengono attivate durante l'installazione dei pacchetti steam-devices, antimicrox e kdeconnectd. \u00c8 disponibile un prototipo dell'exploit. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"