V knižnici libinput bolo objavených niekoľko zraniteľností:
CVE-2026-35093: Zraniteľnosť umožňujúca prechod sandboxu v doplnkoch. Chyba v zavádzači pluginu umožňovala načítanie predkompilovaného bajtkódu, ktorý obchádza overovanie za behu, a preto nie je izolovaný. To vytvára útočnú plochu, ktorá by mohla umožniť škodlivému pluginu získať neobmedzený prístup k systému v závislosti od oprávnení používateľa.
CVE-2026-35094: Zraniteľnosť typu „use-after-free“ vedúca k úniku citlivých informácií. Plugin volá funkciu Lua __gc() a ponecháva "visiaci" Ukazovateľ v názve zariadenia, ktorý je možné zaznamenať. V závislosti od hodnoty v pamäťovej bunke by to mohlo viesť k zverejneniu citlivých informácií.
Tieto zraniteľnosti postihujú všetky distribúcie s verziou libinput 1.30.0 a novšou. Používanie Lua pluginov je však možné iba vtedy, ak ich načíta editor kódu. V súčasnosti... Toto sa týka mumlania v GNOME 50., KWin (git) и Niri (git).
wlroots, sway a river nie sú náchylné na útok.
Distribúcie Fedory 43 a 44 používajú parameter -Dautoload-plugins, ktorý spôsobí načítanie pluginov bez ohľadu na podporu editora. Arch, OpenSuSE, Ubuntu, Debian a NixOS túto možnosť nemajú a/alebo používajú staršie verzie libinput.
Ovplyvnené verzie: libinput 1.31.0, 1.30.[0-2]
Opravené verzie: libinput 1.31.1, 1.30.3
Zdroj: linux.org.ru
