Publicada uma versão corrigida libinput 1.31.3 — uma biblioteca para o processamento de dispositivos de entrada, utilizada por desktops Linux modernos em conjunto com compositores Wayland e X.Org. O libinput é responsável pela detecção de dispositivos, processamento de eventos e abstração de entrada: desde mouses e touchpads até tablets gráficos. O projeto é distribuído sob a licença MIT.
A principal mudança nesta versão é a correção de uma vulnerabilidade no programa auxiliar udev libinput-device-group. O problema estava relacionado ao fato de que o valor PHYS, obtido do dispositivo, era enviado como uma string KEY=VALUE nas saídas do udev sem a devida limpeza de caracteres especiais. Um dispositivo malicioso criado através de uinput ou uhid, poderia incluir um símbolo de nova linha em PHYS, fazendo com que o udev interpretasse a saída como duas variáveis separadas. Isso poderia resultar na execução de código arbitrário com privilégios de root.
A vulnerabilidade não é remota: o atacante precisa de acesso local e da capacidade de criar um dispositivo malicioso de uinput ou uhid. Normalmente, o acesso a essas interfaces é restrito ao root, mas o risco se torna mais significativo em sistemas com regras udev mais permissivas. Um exemplo são as configurações que permitem acesso a usuários comuns para suportar controladores de jogos e Steam Input, por meio de pacotes como steam-devices ou regras semelhantes.
Importante notar: anteriormente, a versão libinput 1.31.2, foi mencionada nas notícias, mas no advisory oficial as versões corrigidas indicadas são libinput 1.31.3 e 1.30.4. As versões afetadas vão até 1.31.2 e 1.30.3 inclusivamente; CVE ainda não havia sido atribuído no momento da publicação.
Os usuários são recomendados a atualizar o pacote do sistema libinput por meio do gerenciador de pacotes do seu distribuidor. No Arch Linux, pacote libinput 1.31.3-1 já está disponível no repositório Extra desde 4 de junho de 2026, e na Debian a versão 1.31.3-1 foi aceita no unstable no mesmo dia.
Fonte: linux.org.ru
