Upozornenie na bezpečnosť libinput

V knižnici libinput bolo zistených niekoľko zraniteľností:

1. CVE-2026-35093: Prekročenie pieskoviska v zásuvných moduloch. Chyba v načítači zásuvných modulov umožnila načítať predkompilovaný bajtkód, ktorý neprechádza kontrolou pri vykonávaní a tým pádom nie je obmedzený pieskoviskom. To vytvára možnosť útoku, ktorý umožňuje škodlivému zásuvnému modulu získať neobmedzený prístup k systému, v závislosti od oprávnení používateľa.

2. CVE-2026-35094: Použitie po uvoľnení pamäte, vedúce k úniku dôverných informácií. Zásuvný modul, ktorý vyvoláva funkciu Lua __gc() necháva „visací“ ukazovateľ v názve zariadenia, ktorý môže byť zaznamenaný do logu. V závislosti od hodnoty v pamäti to môže viesť k odhaleniu dôverných informácií.

Zraniteľnosti zasahujú všetky distribúcie s libinput verzie 1.30.0 a novšej. Avšak používanie Lua zásuvných modulov je možné len v prípade, že kompozitor ich načíta. V súčasnosti sa to týka GNOME 50’s mutter, KWin (git) a Niri (git).
wlroots, sway a river nie sú zraniteľné voči útoku.

Distribúcie Fedora 43 a 44 používajú možnosť -Dautoload-plugins, ktorá vedie k načítaniu zásuvných modulov nezávisle od podpory kompozitora. Arch, OpenSuSE, Ubuntu, Debian a NixOS túto možnosť nemajú a/alebo používajú staršie verzie libinput.

Zasiahnuté verzie: libinput 1.31.0, 1.30.[0-2]
Opravené verzie: libinput 1.31.1, 1.30.3

Zdroj: linux.org.ru