libinput 1.31.3 med en åtgärd för sårbarheten som leder till exekvering av kod från root

Korrigerande utgåva publicerad libinput 1.31.3 — bibliotek för hantering av inmatningsenheter, som används av moderna Linux-skrivbord i samarbete med Wayland-kompositörer och X.Org. libinput ansvarar för upptäckten av enheter, händelsehantering och inmatningsabstraktion: från möss och pekplattor till grafiska tabletter. Projektet distribueras under MIT-licensen.

Den viktigaste förändringen i utgåvan är fix av sårbarhet i udev-hjälpprogrammet libinput-device-group. Problemet var relaterat till att värdet PHYS, som erhölls från enheten, kom in i utdata för udev som en sträng KEY=VALUE utan tillräcklig rensning av specialtecken. En skadlig enhet som skapats via uinput eller uhid, kunde Infoga en radbrytning i PHYS, vilket gjorde att udev tolkade utdata som två separata variabler. Detta kunde leda till exekvering av godtycklig kod med root-behörighet.

Sårbarheten är inte avlägsen: angriparen behöver lokal åtkomst och möjlighet att skapa en skadlig uinput- eller uhid-enhet. Vanligtvis begränsas åtkomst till sådana gränssnitt till root, men risken ökar på system med bredare udev-regler. Som exempel nämns konfigurationer där åtkomst öppnas för vanliga inloggade användare för att stödja spelkontroller och Steam Input, till exempel genom paketet steam-devices eller liknande regler.

Viktig precisering: tidigare nämndes versionen libinput 1.31.2, men i den officiella rådgivningen anges de korrigerade versionerna libinput 1.31.3 och 1.30.4. Påverkas versioner upp till 1.31.2 och 1.30.3 inklusive; CVE hade ännu inte tilldelats vid publicering.

Användare rekommenderas att uppdatera systempaketet libinput via den vanliga paketmanagern i distributionen. I Arch Linux paketet libinput 1.31.3-1 har redan blivit tillgängligt i Extra-repositoriet den 4 juni 2026, i Debian antogs versionen 1.31.3-1 i unstable samma dag.

Källa: linux.org.ru