libinput-ის უსაფრთხოების შეტყობინება

libinput ბიბლიოთეკაში რამდენიმე დაუცველობა აღმოაჩინეს:

1. CVE-2026-35093: დანამატებში „sandbox traversal“-ის დაუცველობა. დანამატის ჩამტვირთავში შეცდომამ წინასწარ კომპილირებული ბაიტკოდის ჩატვირთვის საშუალება მისცა, რომელიც გვერდს უვლის გაშვების დროის ვალიდაციას და შესაბამისად, არ არის დაცული გარემოსგან. ეს ქმნის შეტევის ზედაპირს, რომელიც, მომხმარებლის პრივილეგიებიდან გამომდინარე, მავნე დანამატს სისტემაზე შეუზღუდავი წვდომის მიღების საშუალებას აძლევს.

2. CVE-2026-35094: გამოყენების შემდეგ დაუცველობა, რომელიც მგრძნობიარე ინფორმაციის გაჟონვას იწვევს. Lua __gc() ფუნქციის გამომძახებელი დანამატი ტოვებს „ჩამოკიდებული“ მოწყობილობის სახელში არსებული მაჩვენებელი, რომლის ჟურნალირებაც შესაძლებელია. მეხსიერების უჯრაში არსებული მნიშვნელობიდან გამომდინარე, ამან შეიძლება გამოიწვიოს მგრძნობიარე ინფორმაციის გამჟღავნება.

დაუცველობა გავლენას ახდენს libinput-ის 1.30.0 და უფრო გვიანდელი ვერსიის ყველა დისტრიბუციაზე. თუმცა, Lua-ს დანამატების გამოყენება მხოლოდ იმ შემთხვევაშია შესაძლებელი, თუ კომპოზიტორი მათ ჩატვირთავს. ამჟამად, ეს GNOME 50-ის mutter-ს ეხება., KWin (git) и ნირი (გიტ).
wlroots, Sway და River არ არის მგრძნობიარე შეტევის მიმართ..

Fedora 43 და 44 დისტრიბუციები იყენებენ -Dautoload-plugins ოფციას, რომელიც იტვირთება დანამატები კომპოზიტორის მხარდაჭერის მიუხედავად. Arch, OpenSuSE, Ubuntu, Debian და NixOS არ აქვთ ეს ოფცია და/ან იყენებენ libinput-ის ძველ ვერსიებს.

დაზარალებული ვერსიები: libinput 1.31.0, 1.30.[0-2]
ფიქსირებული ვერსიები: libinput 1.31.1, 1.30.3

წყარო: linux.org.ru