Τα κρίσιμα τρωτά σημεία στο InputPlumber, ένα βοηθητικό πρόγραμμα συσκευής εισόδου Linux που χρησιμοποιείται στο SteamOS, θα μπορούσαν να επιτρέψουν στους εισβολείς να εισάγουν εισόδους διεπαφής χρήστη και να προκαλέσουν συνθήκες άρνησης υπηρεσίας στα επηρεαζόμενα συστήματα.
Οι ερευνητές του SUSE εντόπισαν ως CVE-2025-66005 και CVE-2025-14338, τα οποία επηρεάζουν τις εκδόσεις InputPlumber πριν από την έκδοση 0.69.0 και προέρχονται από ανεπαρκείς μηχανισμούς εξουσιοδότησης D-Bus.
Το InputPlumber συνδυάζει συσκευές εισόδου Linux σε συσκευές εικονικής εισόδου και εκτελείται με πλήρη δικαιώματα root, καθιστώντας αυτές τις ατέλειες ιδιαίτερα επικίνδυνες.
Τα τρωτά σημεία επιτρέπουν σε οποιονδήποτε χρήστη του συστήματος, συμπεριλαμβανομένων λογαριασμών χαμηλών προνομίων, να έχει πρόσβαση στην υπηρεσία D-Bus του InputPlumber χωρίς έλεγχο ταυτότητας.
| Αναγνωριστικό CVE | Ζήτημα | Εκδόσεις που επηρεάζονται | Σύγκρουση |
|---|---|---|---|
| CVE-2025-66005 | Λείπει η εξουσιοδότηση στη διεπαφή D-Bus | DoS, διαρροή πληροφοριών, κλιμάκωση προνομίων | |
| CVE-2025-14338 | Polkit auth απενεργοποιημένο + συνθήκη αγώνα auth | DoS, διαρροή πληροφοριών, κλιμάκωση προνομίων |
Οι εισβολείς εκμεταλλεύονται αυτήν την πρόσβαση με πολλούς τρόπους
UI Input Injection: Οι κακόβουλοι παράγοντες μπορούν να δημιουργήσουν συσκευές εικονικού πληκτρολογίου και να εισάγουν πληκτρολογήσεις σε περιόδους σύνδεσης ενεργών χρηστών.
Αυτό θα μπορούσε να οδηγήσει σε αυθαίρετη εκτέλεση κώδικα στο πλαίσιο του τρέχοντος συνδεδεμένου χρήστη, θέτοντας σε κίνδυνο τη συνεδρία και τα δεδομένα του.
Denial-of-Service: Η μέθοδος CreateCompositeDevice δέχεται διαδρομές αρχείων από πελάτες, επιτρέποντας στους εισβολείς να ενεργοποιήσουν την εξάντληση της μνήμης περνώντας ειδικά αρχεία όπως το /dev/zero.
Αποκάλυψη πληροφοριών: Η ίδια μέθοδος μπορεί να εκτελέσει δοκιμές ύπαρξης αρχείων και να διαρρεύσει ευαίσθητες πληροφορίες από αρχεία που συνήθως δεν είναι προσβάσιμα σε χρήστες χαμηλών προνομίων, όπως το /root/.bash_history.
Τα τρωτά σημεία επηρεάζουν κυρίως τα συστήματα παιχνιδιών Linux που εκτελούν το InputPlumber, συμπεριλαμβανομένου του SteamOS. Η Valve κυκλοφόρησε το SteamOS 3.7.20, το οποίο περιλαμβάνει την επιδιόρθωση InputPlumber v0.69.0.
Οι προγραμματιστές ανοδικής ροής έχουν αντιμετωπίσει τα περισσότερα ζητήματα μεταβαίνοντας στον σωστό έλεγχο ταυτότητας Polkit, ενεργοποιώντας την εξουσιοδότηση από προεπιλογή και εφαρμόζοντας τη σκλήρυνση του συστήματος.
Ωστόσο, ορισμένες βελτιώσεις του D-Bus API που χρησιμοποιούν περιγραφείς αρχείων αντί για ονόματα διαδρομών παραμένουν χωρίς συγχώνευση.
ερευνητές SUSE συμβουλεύω οι διαχειριστές συστήματος να ενημερώσουν αμέσως σε InputPlumber έκδοση 0.69.0 ή νεότερη έκδοση, ειδικά σε συστήματα παιχνιδιών και εγκαταστάσεις SteamOS.
Η συντονισμένη διαδικασία αποκάλυψης μεταξύ των ερευνητών ασφαλείας της SUSE και των προγραμματιστών της InputPlumber εξασφάλισε ότι υπήρχαν διαθέσιμες επιδιορθώσεις πριν από τη δημόσια αποκάλυψη.
