Zverejnené opravné vydanie libinput 1.31.3 — knižnica na spracovanie vstupných zariadení používaná modernými Linux desktopmi v súčinnosti s Wayland kompozitormi a X.Org. libinput zodpovedá za detekciu zariadení, spracovanie udalostí a abstrakciu vstupu: od myší a touchpadov až po grafické tablety. Projekt je šírený pod licenciou MIT.
Hlavná zmena vydania — oprava zraniteľnosti v udev pomocnom programe libinput-device-group. Problém bol spojený s tým, že hodnota PHYS, získaná od zariadenia, sa dostala do výstupu pre udev vo forme reťazca KEY=VALUE bez dostatočného vyčistenia špeciálnych znakov. Zlomyseľné zariadenie vytvorené cez uinput alebo uhid, mohlo vložiť do PHYS znak prechodu na novú líniu, v dôsledku čoho udev vnímal výstup ako dve samostatné premenné. V dôsledku toho to mohlo viesť k vykonaniu ľubovoľného kódu s právami root.
Zraniteľnosť nie je vzdialená: útočník potrebuje miestny prístup a schopnosť vytvoriť zlomyseľné uinput- alebo uhid-zariadenie. Zvyčajne je prístup k takýmto rozhraniam obmedzený na root, ale riziko vzniká na systémoch s širšími udev pravidlami. Ako príklad sa uvádzajú konfigurácie, kde je prístup otvorený bežným prihláseným používateľom na podporu herných ovládačov a Steam Input, napríklad cez balík steam-devices alebo podobné pravidlá.
Dôležité upresnenie: predtým sa v novinkách spomínala verzia libinput 1.31.2, ale v oficiálnom poradenstve sú uvedené opravené verzie libinput 1.31.3 a 1.30.4. Zasiahnuté sú verzie až do 1.31.2 a 1.30.3 včítane; CVE v čase publikácie ešte nebol pridelený.
Používateľom sa odporúča aktualizovať systémový balík libinput cez štandardný správcu balíkov distribúcie. V Arch Linuxe balík libinput 1.31.3-1 už je k dispozícii v úložisku Extra 4. júna 2026, v Debian bola verzia 1.31.3-1 prijatá do unstable v ten istý deň.
Zdroj: linux.org.ru
