PT-2022-2364 · Libinput+11 · Libinput+11
Albin Eldstål-Ahrens
+1
·
Publicado
2022-04-20
·
Atualizado
2024-04-04
·
CVE-2022-1215
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
libinput versão 1.20.1
Descrição
Foi encontrada uma vulnerabilidade de string de formato no libinput, relacionada ao uso de strings de formato não controladas na função evdev log msg. Essa vulnerabilidade pode ser explorada para executar código arbitrário com privilégios elevados, particularmente quando o servidor X é executado com privilégios de root. O problema afeta ambientes baseados em X.Org e Wayland e pode ser explorado por meio de conexões de dispositivos locais ou manipulações com dispositivos Bluetooth.
Recomendações
Para a versão 1.20.1 da libinput, considere atualizar para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, restrinja o acesso à função evdev log msg para minimizar o risco de exploração. Evite usar a função
evdev log msg nos pontos de extremidade da API afetados até que o problema seja resolvido.Correção
Use of Externally-Controlled Format String
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Debian
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu
Libinput