CVE-2026-50292: Freedesktop libinput: injeção de propriedades udev por saída phys sem escape
A CVE-2026-50292 afeta o libinput da Freedesktop antes da 1.30.4 e a partir da 1.31.0 até antes da 1.31.3, onde o valor phys usado pelo libinput-device-group não sofre escape, permitindo a injeção de propriedades udev. O registro descreve o problema como capaz de levar à execução arbitrária de código como root. A NVD atribui nota 9.8 (crítica), o CVE não consta no CISA KEV e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-50292 trata do tratamento de grupos de dispositivos no libinput. O valor phys associado aos dispositivos é gravado em propriedades udev sem escape, o que o registro indica permitir a injeção de propriedades e a execução arbitrária de código como root. A CVE foi publicada em 2026-06-04.
Impacto
- O registro descreve o impacto como execução arbitrária de código como root.
- A NVD classifica a vulnerabilidade com nota 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade.
- O registro do CNA MITRE lista nota 7.4 para o mesmo problema.
Produtos e versões afetadas
- libinput da Freedesktop antes da 1.30.4.
- libinput da Freedesktop a partir da 1.31.0 até antes da 1.31.3.
- Versões fora desses intervalos não são apontadas como afetadas no registro.
Status de exploração
O CISA KEV não lista esta CVE, portanto esse catálogo não confirma exploração ativa. As fontes consultadas não confirmam exploração in the wild. O dado SSVC do registro traz o valor de exploração poc, que indica a existência registrada de material de prova de conceito; trata-se de uma avaliação registrada, e não da confirmação de ataques. A EPSS informa probabilidade de 0,00532 e percentil de 0,44142, com data de 2026-10-23.
Correção e mitigação
- Atualize o libinput para a 1.30.4 ou superior, ou para a 1.31.3 ou superior nas instalações da série iniciada em 1.31.0.
- Verifique se a distribuição Linux utilizada aplicou o backport da correção, pois o registro não informa isso.
- Consulte o commit upstream e o anúncio na lista oss-security para os detalhes da correção.
Orientações de detecção
- Faça um inventário dos hosts que distribuem libinput e compare as versões instaladas com as versões corrigidas acima.
- Revise propriedades de dispositivos relacionadas ao udev em sistemas com dispositivos de entrada, buscando valores inesperados ou malformados.
- Mantenha registros de atividade do udev e do gerenciamento de dispositivos para análise posterior.
Limitações das informações disponíveis
- O registro não informa o nome da CWE associada, restando apenas o identificador CWE-93.
- O registro não confirma a disponibilidade pública de exploração além do valor SSVC, nem descreve o status de backport nas distribuições.
- Detalhes técnicos além da descrição e do patch vinculado não são fornecidos no registro.
Perguntas frequentes
Quais versões do libinput são afetadas pela CVE-2026-50292?
O registro aponta como afetadas as versões do libinput antes da 1.30.4 e a partir da 1.31.0 até antes da 1.31.3.
Esta vulnerabilidade está sendo explorada ativamente?
O CISA KEV não lista esta CVE e as fontes consultadas não confirmam exploração in the wild. O dado SSVC registra o valor de exploração poc.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.