CVE-2026-35093

WysokieCVSS 8.8

Opublikowano: 01/04/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

W bibliotece libinput wykryto lukę umożliwiającą lokalnemu atakującemu ominięcie zabezpieczeń poprzez umieszczenie spreparowanego pliku bytecode Lua w katalogach konfiguracyjnych systemu lub użytkownika. Atakujący może uruchomić nieautoryzowany kod z uprawnieniami programu korzystającego z libinput, np. kompozytora graficznego. Może to prowadzić do monitorowania wprowadzanych danych z klawiatury i wysyłania ich na zewnątrz.

Ocena ryzyka

Ryzyko polega na możliwości przechwycenia poufnych danych wprowadzanych z klawiatury, takich jak hasła czy dane logowania, przez lokalnego atakującego bez wymaganych specjalnych uprawnień. Naruszenie to może zagrozić bezpieczeństwu całego systemu i poufności użytkowników.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę libinput do najnowszej dostępnej wersji, która zawiera poprawkę usuwającą tę lukę. Dodatkowo warto ograniczyć dostęp do katalogów konfiguracyjnych systemu i użytkownika tylko dla zaufanych procesów.

Inne podatności w libinput

CVE-2026-50292Wysokie
W libinput przed wersjami 1.30.4 i 1.31.3, nieuciekający (unescaped) output phys z libinput-device-group może wstrzykiwać właściwości udev, prowadząc do dowolnego wykonania kodu z uprawnieniami roota.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in libinput. A local attacker who can place a specially crafted Lua bytecode file in certain system or user configuration directories can bypass security restrictions. This allows the attacker to run unauthorized code with the same permissions as the program using libinput, such as a graphical compositor. This could lead to the attacker monitoring keyboard input and sending that information to an external location.