Инструмент для Linux-гейминга оказался дырой с root-доступом

Инструмент для Linux-гейминга оказался дырой с root-доступом

Инструмент для Linux-гейминга оказался дырой с root-доступом

Инструмент InputPlumber, который используется для объединения устройств ввода в Linux-системах (в том числе в SteamOS), оказался небезопасным. Специалисты SUSE обнаружили в нём критические уязвимости, позволяющие локальному злоумышленнику перехватывать пользовательские сессии, подсовывать нажатия клавиш и даже читать файлы с правами root.

Речь идёт о двух уязвимостях — CVE-2025-66005 и CVE-2025-14338. Обе связаны с тем, что InputPlumber практически не проверял, кто именно обращается к его D-Bus-сервису. А это особенно неприятно, учитывая, что сервис работает с правами root.

Как выяснилось в ходе плановой проверки пакетов, ранние версии InputPlumber вообще не содержали никакой аутентификации клиентов.

«Первая версия InputPlumber, которую мы проверяли, полностью игнорировала аутентификацию, из-за чего мы сразу её забраковали», — пишут эксперты SUSE в отчёте SUSE.

Разработчики попытались исправиться и добавить Polkit, но сделали это так, что защита в реальности часто не работала. Поддержка Polkit была опциональна на этапе компиляции — и по умолчанию оказывалась отключённой. В результате бинарники нередко поставлялись вообще без какой-либо валидации.

Более того, даже при включённом Polkit обнаружилась состояние гонки (race condition) — классическая проблема, связанная с небезопасным использованием unix-process в Polkit (CVE-2025-14338).

По сути, любой пользователь системы получал доступ ко всем D-Bus-методам InputPlumber. А это открывало довольно опасные вектора атаки.

Например, через метод CreateTargetDevice можно было создать виртуальную клавиатуру и начать «нажимать» клавиши в чужой активной сессии — будь то рабочий стол или экран входа в систему.

Проще говоря, один пользователь мог незаметно управлять вводом другого и потенциально добиться выполнения произвольного кода от его имени.

Другой метод — CreateCompositeDevice — позволял использовать конфигурационные файлы для сторонних целей. С его помощью исследователи смогли определить существование привилегированных файлов и даже частично утёкшие данные, включая содержимое /root/.bash_history, которое «подсвечивалось» через сообщения об ошибках.

После раскрытия информации разработчики InputPlumber устранили проблемы. В версии v0.69.0 Polkit-аутентификация включена по умолчанию, а небезопасный механизм проверки заменён на корректный.

Обновления уже добрались и до SteamOS — компания выпустила новые образы SteamOS 3.7.20, в которых уязвимости закрыты.

Пользователям, у которых InputPlumber установлен в системе, настоятельно рекомендуется обновиться как можно скорее. Даже если вы используете его «только для игр», root-сервисы без нормальной аутентификации — это всегда плохая идея.

Суд признал банкротом российскую дочку Microsoft

Арбитражный суд Москвы признал банкротом российскую дочку Microsoft — ООО «Майкрософт Рус» — и открыл конкурсное производство. Это финальная стадия процедуры банкротства, которая фактически означает распродажу активов для расчётов с кредиторами.

Процесс начался ещё в сентябре 2025 года, тогда компания сама подала заявление о банкротстве.

Как сообщал её представитель в суде, на тот момент неисполненные обязательства превышали 1,5 млрд рублей. Конкурсным управляющим назначен Андрей Соломонов из ассоциации «Достояние».

Причины ситуации довольно ожидаемы. После 2022 года Microsoft приостановила продажи продуктов и услуг в России. При этом «Майкрософт Рус» какое-то время продолжала оказывать техническую поддержку.

Но со временем клиентов практически не осталось: к 2025 году у компании был всего один заказчик, который тоже прекратил сотрудничество. В итоге бизнес перестал приносить доход, и компания сама запустила процедуру банкротства.

Интересно, что ещё по отчётности за 2024 год в Microsoft подчёркивали: вопрос о ликвидации российской дочки не рассматривается. Однако на практике компания фактически уже не вела полноценной деятельности.

Общая картина по Microsoft в России тоже выглядит сдержанно. По данным ФНС, выручка четырёх российских дочек корпорации в 2025 году снизилась почти на треть — на 29,5%, до 117,3 млн рублей. Для сравнения: годом ранее она составляла 166,5 млн рублей.

Больше всего дохода в 2025 году принесла структура «Майкрософт пейментс рус» — около 70,4 млн рублей. При этом в апреле 2025 года компания привлекла займ на 300 млн рублей у ирландской «дочки» Microsoft Global Finance ULC под 2,5% годовых.

Таким образом, история «Майкрософт Рус» подошла к логическому завершению: после сворачивания бизнеса и ухода ключевых клиентов компания не смогла продолжать работу и перешла в стадию банкротства.

RSS: Новости на портале Anti-Malware.ru