Flera sÄrbarheter har upptÀckts i biblioteken libinput:
CVE-2026-35093: Utanför sandlÄdan i plugins. Ett fel i plugin-laddaren möjliggjorde att förkompilerad bytekod laddades, vilket inte verifieras vid körning och dÀrmed inte begrÀnsas av sandlÄdan. Detta möjliggör en attack dÀr en skadlig plugin kan fÄ obegrÀnsad Ätkomst till systemet, beroende pÄ anvÀndarens rÀttigheter.
CVE-2026-35094: AnvÀndning efter frigöring av minne, vilket leder till lÀckage av konfidentiell information. Plugin som anropar Lua-funktionen __gc() lÀmnar en "hÀngande" pekare i enhetens namn, som kan loggas. Beroende pÄ innehÄllet i minnescellen kan detta leda till avslöjande av konfidentiell information.
SÄrbarheterna pÄverkar alla distributioner med libinput version 1.30.0 och senare. AnvÀndning av Lua-plugins Àr dock endast möjlig om kompositören laddar dem. För nÀrvarande berör detta GNOME 50:s mutter, KWin (git) och Niri (git).
wlroots, sway och river Àr inte utsatta för attack.
Distributionerna Fedora 43 och 44 anvÀnder alternativet -Dautoload-plugins, vilket medför att plugins laddas oavsett kompositörens stöd. Arch, OpenSuSE, Ubuntu, Debian och NixOS har inte detta alternativ och/eller anvÀnder Àldre versioner av libinput.
Berörda versioner: libinput 1.31.0, 1.30.[0-2]
Korrigerade versioner: libinput 1.31.1, 1.30.3
KĂ€lla: linux.org.ru
