🥇Libinput drošības paziņojums

Libinput bibliotēkā atklātas vairākas ievainojamības:

CVE-2026-35093: Bēgšana no smilšu kastes spraudņos. Kļūda spraudņu ielādētājā ļāva ielādēt iepriekš sagatavotu bajtkodu, kas neveic pārbaudi izpildes laikā un tādējādi netiek ierobežots smilškastē. Tas rada uzbrukuma iespēju, kas ļauj ļaunprātīgam spraudnim iegūt neierobežotu piekļuvi sistēmai atkarībā no lietotāja privilēģijām.
CVE-2026-35094: Atmiņas pēc atbrīvošanas izmantošana, kas noved pie konfidenciālas informācijas noplūdes. Spraudnis, kas izsauc Lua __gc() funkciju, atstāj „karājošu” norādi uz ierīces nosaukumu, ko var ierakstīt žurnālā. Atkarībā no vērtības atmiņas šūnā tas var novest pie konfidenciālas informācijas atklāšanas.

Ievainojamības skar visus sadalījumus ar libinput versiju 1.30.0 un jaunākām. Tomēr Lua spraudņu izmantošana ir iespējama tikai tad, ja kompozitors tos ielādē. Šobrīd tas attiecas uz GNOME 50's mutter, KWin (git) un Niri (git).
wlroots, sway un river nav pakļauti uzbrukumam.

Fedora 43 un 44 sadalījumi izmanto -Dautoload-plugins opciju, kas noved pie spraudņu ielādes neatkarīgi no kompozitora atbalsta. Arch, OpenSuSE, Ubuntu, Debian un NixOS šai opcijai un/vai izmanto vecākas libinput versijas.

Skartās versijas: libinput 1.31.0, 1.30.[0-2]
Labotās versijas: libinput 1.31.1, 1.30.3

Avots: linux.org.ru