Mai multe vulnerabilități au fost descoperite în biblioteca libinput:
CVE-2026-35093: Ieșire din sandbox în pluginuri. O eroare în încărcătorul de pluginuri a permis încărcarea codului byte precompilat, care nu trece de verificările în timpul execuției și, astfel, nu este restricționat de sandbox. Aceasta creează o oportunitate pentru un atac, permițând unui plugin malițios să obțină acces nelimitat la sistem, în funcție de privilegiile utilizatorului.
CVE-2026-35094: Folosire după eliberarea memoriei, ducând la scurgeri de informații confidențiale. Pluginul care apelează funcția Lua __gc() lasă un pointer «suspendat» în numele dispozitivului, care poate fi scris în log. În funcție de valoarea din celula de memorie, aceasta poate conduce la divulgarea informațiilor confidențiale.
Vulnerabilitățile afectează toate distribuțiile cu libinput versiunea 1.30.0 și mai recentă. Cu toate acestea, utilizarea pluginurilor Lua este posibilă doar dacă compozitorul le încarcă. În prezent, acest lucru afectează mutter de la GNOME 50, KWin (git) și Niri (git).
wlroots, sway și river nu sunt afectate de atac.
Distribuțiile Fedora 43 și 44 folosesc opțiunea -Dautoload-plugins, care duce la încărcarea pluginurilor indiferent de suportul compozitorului. Arch, OpenSuSE, Ubuntu, Debian și NixOS nu dispun de această opțiune și/sau folosesc versiuni mai vechi ale libinput.
Versiuni afectate: libinput 1.31.0, 1.30.[0-2]
Versiuni corectate: libinput 1.31.1, 1.30.3
Sursa: linux.org.ru
