libinput 1.31.2 с исправлением уязвимости, ведущей к выполнению кода от root
Опубликован корректирующий выпуск libinput 1.31.2 — библиотеки обработки устройств ввода, используемой современными Linux-десктопами в связке с Wayland-композиторами и X.Org. libinput отвечает за обнаружение устройств, обработку событий, ускорение указателя, обработку тачпадов, планшетов и прочих устройств ввода. Проект распространяется под лицензией MIT/Expat.
Главное изменение выпуска — исправление уязвимости в udev-вспомогательной программе libinput-device-group. Проблема позволяла вредоносному устройству, созданному через uinput или uhid, передать в sysfs-атрибут PHYS строку с символом новой строки. Из-за этого результат мог быть интерпретирован udev как две отдельные пары ключ-значение, что в итоге открывало путь к выполнению произвольного кода с правами root.
Уязвимость не является удалённой: атакующему нужно иметь возможность создать вредоносное uinput/uhid-устройство локально. Обычно доступ к таким интерфейсам ограничен root, но риск появляется на системах с более широкими udev-правилами. В качестве примера упоминается пакет steam-devices в Fedora и похожие правила, которые могут открывать доступ обычным вошедшим в систему пользователям ради поддержки игровых контроллеров и Steam Input.
Помимо security-исправления, в ветке 1.31.2 также есть небольшие аппаратные и корректирующие изменения: добавлена поддержка haptic-тачпадов Goodix 27C6:0F90 и Elan 04F3:3355, исправлена проверка evdev_usage_is_button для группы BTN_STYLUS, а также вошли отдельные quirk-правки для устройств и тачпадов. В истории коммитов релиз помечен как libinput 1.31.2; сам тег был создан Питером Хаттерером.
Пользователям рекомендуется обновить пакет libinput до версии 1.31.2 через штатные обновления дистрибутива. Отдельно стоит проверить локальные udev-правила, связанные с /dev/uinput, /dev/uhid и игровыми контроллерами: если они выдают доступ слишком широкому кругу пользователей или приложений, это увеличивает поверхность атаки.
>>> Источник
