Várias vulnerabilidades foram descobertas na biblioteca libinput:
CVE-2026-35093: Violação de sandbox em plugins. Um erro no carregador de plugins permitiu o carregamento de bytecode pré-compilado, que não é verificado em tempo de execução e, portanto, não é restrito pela sandbox. Isso cria uma possibilidade de ataque, permitindo que um plugin malicioso ganhe acesso irrestrito ao sistema, dependendo das permissões do usuário.
CVE-2026-35094: Uso após liberação de memória, levando a vazamentos de informações confidenciais. Um plugin que chama a função Lua __gc() deixa um ponteiro "pendurado" no nome do dispositivo, que pode ser registrado em log. Dependendo do valor na célula de memória, isso pode levar à revelação de informações confidenciais.
As vulnerabilidades afetam todas as distribuições com libinput versão 1.30.0 ou superior. No entanto, o uso de plugins Lua só é possível se o compositor os carregar. No momento, isso se aplica ao mutter do GNOME 50, KWin (git) e Niri (git).
wlroots, sway e river não estão vulneráveis a ataques..
As distribuições Fedora 43 e 44 utilizam a opção -Dautoload-plugins, que leva ao carregamento de plugins independentemente do suporte do compositor. Arch, OpenSuSE, Ubuntu, Debian e NixOS não possuem essa opção e/ou utilizam versões mais antigas do libinput.
Versões afetadas: libinput 1.31.0, 1.30.[0-2]
Versões corrigidas: libinput 1.31.1, 1.30.3
Fonte: linux.org.ru
