Sikkerhetsvarsel for libinput

Det er oppdaget flere sårbarheter i libinput:

1. CVE-2026-35093: Sannsynlighetsbrudd i plugins. En feil i pluginslader ga mulighet til å laste inn forhåndskommandert bytekode, som ikke blir verifisert under kjøretid og dermed ikke begrenses av sandkassen. Dette gir mulighet for et angrep der en ondsinnet plugin kan få ubegrenset tilgang til systemet, avhengig av brukerens privilegier.

2. CVE-2026-35094: Bruk etter frigjøring av minne som fører til lekkasje av sensitiv informasjon. Plugin som kaller Lua-funksjonen __gc() etterlater en "hengende" peker i enheten sitt navn, som kan vises i loggen. Avhengig av verdien i minnecellen kan dette føre til avdekking av sensitiv informasjon.

Sårbarhetene påvirker alle distribusjoner med libinput versjon 1.30.0 og nyere. Men bruk av Lua-plugins er kun mulig dersom kompositoren laster dem. For øyeblikket gjelder dette GNOME 50’s mutter, KWin (git) og Niri (git).
wlroots, sway og river er ikke sårbare.

Distribusjoner av Fedora 43 og 44 bruker -Dautoload-plugins-alternativet, som medfører at plugins lastes uavhengig av støtte fra kompositoren. Arch, OpenSuSE, Ubuntu, Debian og NixOS har ikke dette alternativet og/eller bruker eldre versjoner av libinput.

Berørte versjoner: libinput 1.31.0, 1.30.[0-2]
Løste versjoner: libinput 1.31.1, 1.30.3

Kilde: linux.org.ru