{"id":181898,"date":"2026-06-04T14:48:17","date_gmt":"2026-06-04T12:48:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-libinput-pozvolyayushhaya-povysit-svoi-privilegii-v-sisteme"},"modified":"2026-06-04T14:48:17","modified_gmt":"2026-06-04T12:48:17","slug":"uyazvimost-v-libinput-pozvolyayushhaya-povysit-svoi-privilegii-v-sisteme","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-libinput-pozvolyayushhaya-povysit-svoi-privilegii-v-sisteme","title":{"rendered":"Vulnerabilit\u00e0 in libinput che consente l'elevazione dei privilegi nel sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nella libreria libinput, che fornisce uno stack di input unificato per Wayland e X.Org Server, \u00e8 stata identificata una vulnerabilit\u00e0 (CVE non assegnato) che consente l'esecuzione di codice con privilegi di root tramite la connessione da parte di un utente locale a un dispositivo di input virtuale simulato nello spazio utente attraverso uinput o uhid. Il problema \u00e8 stato risolto nelle versioni 1.31.3 e 1.30.4.<\/p>\n
La vulnerabilit\u00e0 \u00e8 presente nell'elaboratore udev libinput-device-group e \n\u00e8 causata dalla mancanza del corretto escaping dei caratteri speciali negli attributi ricevuti dai dispositivi e inviati al sottosistema udev nella forma \u00abchiave=valore\u00bb. Sostituendo il carattere di nuova linea (\u00ab\n\u00bb) nell'attributo, \u00e8 possibile aggiungere una propria regola udev, ad esempio eseguendo il comando uinput UI_SET_PHYS(\u00abpoc\n=\u00bb). Per eseguire comandi arbitrari con diritti di root, \u00e8 sufficiente inserire in questo modo una regola udev con la propriet\u00e0 \u00abREMOVE_CMD\u00bb, che esegue il comando specificato dopo la disconnessione del dispositivo.<\/p>\n
Per sfruttare la vulnerabilit\u00e0, l'attaccante deve avere accesso al dispositivo \/dev\/uinput o \/dev\/uhid. Di solito, l'accesso a uinput e uhid \u00e8 riservato solo all'utente root, ma in alcune distribuzioni vengono fornire regole udev che consentono agli utenti non privilegiati di utilizzare uinput. Ad esempio, in Fedora tali regole vengono impostate con l'installazione dei pacchetti steam-devices, antimicrox e kdeconnectd. \u00c8 disponibile un prototipo di exploit. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"