Опубликован корректирующий релиз libinput 1.31.2 — популярной библиотеки для обработки устройств ввода, которая применяется современными Linux-окружениями в связке с X.Org и Wayland-композиторами. Библиотека отвечает за определение периферии, обработку поступающих событий, ускорение указателей, а также за работу с тачпадами, графическими планшетами и другими органами управления. Проект распространяется под свободной лицензией MIT/Expat.
Ключевым изменением свежего выпуска стало устранение критической уязвимости в утилите libinput-device-group, работающей на базе udev. Проблема заключалась в том, что специально сформированное вредоносное устройство через интерфейсы uinput или uhid могло передать в атрибут PHYS файловой системы sysfs строку, содержащую символ перевода строки. В результате менеджер udev некорректно интерпретировал данные как две раздельные пары ключ-значение, что в конечном счете открывало злоумышленникам путь к выполнению произвольного кода с максимальными привилегиями root.
Стоит отметить, что обнаруженная уязвимость не относится к категории удаленных: для ее эксплуатации атакующему необходимо локально подключить или программно имитировать вредоносное uinput/uhid-устройство. Хотя по умолчанию доступ к данным интерфейсам жестко ограничен суперпользователем, реальные риски возникают на системах с ослабленными udev-правилами. В качестве классического примера разработчики выделяют пакет steam-devices в дистрибутиве Fedora и аналогичные конфигурации, которые предоставляют обычным авторизованным пользователям расширенные права для корректной работы игровых контроллеров и подсистемы Steam Input.
Помимо исправления безопасности, в версии libinput 1.31.2 реализован ряд сопутствующих аппаратных и корректирующих улучшений. В частности, в кодовую базу добавлена официальная поддержка современных тактильных (haptic) тачпадов Goodix (модель 27C6:0F90) и Elan (модель 04F3:3355), устранена ошибка в проверке функции evdev_usage_is_button для группы кнопок BTN_STYLUS, а также внесены специализированные quirk-правки для различных моделей тачпадов и периферийных устройств. В системе контроля версий тег релиза был сформирован разработчиком Питером Хаттерером.
Всем пользователям Linux рекомендуется оперативно обновить системный пакет libinput до актуальной версии 1.31.2 через стандартные каналы дистрибутива. Дополнительно эксперты советуют провести аудит локальных правил udev, затрагивающих файлы устройств /dev/uinput, /dev/uhid и различные игровые контроллеры: избыточные права доступа для обычных учетных записей или сторонних приложений существенно увеличивают общую поверхность потенциальной атаки.
