Инструмент для Linux-гейминга оказался дырой с root-доступом

Инструмент для Linux-гейминга оказался дырой с root-доступом

Инструмент для Linux-гейминга оказался дырой с root-доступом

Инструмент InputPlumber, который используется для объединения устройств ввода в Linux-системах (в том числе в SteamOS), оказался небезопасным. Специалисты SUSE обнаружили в нём критические уязвимости, позволяющие локальному злоумышленнику перехватывать пользовательские сессии, подсовывать нажатия клавиш и даже читать файлы с правами root.

Речь идёт о двух уязвимостях — CVE-2025-66005 и CVE-2025-14338. Обе связаны с тем, что InputPlumber практически не проверял, кто именно обращается к его D-Bus-сервису. А это особенно неприятно, учитывая, что сервис работает с правами root.

Как выяснилось в ходе плановой проверки пакетов, ранние версии InputPlumber вообще не содержали никакой аутентификации клиентов.

«Первая версия InputPlumber, которую мы проверяли, полностью игнорировала аутентификацию, из-за чего мы сразу её забраковали», — пишут эксперты SUSE в отчёте SUSE.

Разработчики попытались исправиться и добавить Polkit, но сделали это так, что защита в реальности часто не работала. Поддержка Polkit была опциональна на этапе компиляции — и по умолчанию оказывалась отключённой. В результате бинарники нередко поставлялись вообще без какой-либо валидации.

Более того, даже при включённом Polkit обнаружилась состояние гонки (race condition) — классическая проблема, связанная с небезопасным использованием unix-process в Polkit (CVE-2025-14338).

По сути, любой пользователь системы получал доступ ко всем D-Bus-методам InputPlumber. А это открывало довольно опасные вектора атаки.

Например, через метод CreateTargetDevice можно было создать виртуальную клавиатуру и начать «нажимать» клавиши в чужой активной сессии — будь то рабочий стол или экран входа в систему.

Проще говоря, один пользователь мог незаметно управлять вводом другого и потенциально добиться выполнения произвольного кода от его имени.

Другой метод — CreateCompositeDevice — позволял использовать конфигурационные файлы для сторонних целей. С его помощью исследователи смогли определить существование привилегированных файлов и даже частично утёкшие данные, включая содержимое /root/.bash_history, которое «подсвечивалось» через сообщения об ошибках.

После раскрытия информации разработчики InputPlumber устранили проблемы. В версии v0.69.0 Polkit-аутентификация включена по умолчанию, а небезопасный механизм проверки заменён на корректный.

Обновления уже добрались и до SteamOS — компания выпустила новые образы SteamOS 3.7.20, в которых уязвимости закрыты.

Пользователям, у которых InputPlumber установлен в системе, настоятельно рекомендуется обновиться как можно скорее. Даже если вы используете его «только для игр», root-сервисы без нормальной аутентификации — это всегда плохая идея.

Rubytech представила новую систему серверной виртуализации Скала^р МДИ.В

Группа Rubytech анонсировала новую Машину динамической инфраструктуры «Скала^р МДИ.В» — программно-аппаратный комплекс для серверной виртуализации, рассчитанный на корпоративные и государственные ИТ-системы. Новинка пришла на смену предыдущей модели «Скала^р МВ.С».

По сути, речь идёт о платформе для запуска и управления большим количеством виртуальных серверов на одном наборе оборудования.

Она рассчитана на сценарии, где важны высокая нагрузка, отказоустойчивость и возможность постепенно расширять инфраструктуру без остановки сервисов.

В основе решения — серверное оборудование на процессорах нового поколения и программная платформа Basis Dynamix Standard, которая отвечает за виртуализацию и устойчивость среды.

Комплекс поддерживает как классические системы хранения, так и гиперконвергентные программно-определяемые хранилища, так что заказчики могут выбирать подходящий вариант под свои задачи и масштаб.

Один из ключевых акцентов в новой версии сделан на производительности. По заявленным характеристикам, в HCI-режиме система может работать в 5–6 раз быстрее ряда аналогичных решений, а при тестировании на NVMe-накопителях показала до 2 млн операций ввода-вывода в секунду на один вычислительный узел.

Отдельно Rubytech делает ставку на отказоустойчивость. Если один из серверов выходит из строя, нагрузка должна автоматически переноситься на другие узлы. Также заявлена возможность быстро переключаться на резервные площадки в случае более серьёзных сбоев — например, если проблемы возникли на уровне дата-центра.

С точки зрения управления инфраструктурой платформа рассчитана на централизованный контроль через веб-интерфейс и связанные инструменты администрирования. Это должно упростить работу с серверами, хранилищами и виртуальными машинами в одной консоли.

Ещё один важный блок — информационная безопасность. В описании решения говорится о соответствии требованиям ФСТЭК России и возможности использования системы в государственных информационных системах, в ИСПДн с первым уровнем защищённости, а также на значимых объектах КИИ первой категории.

В компании также отмечают, что новая платформа уже использовалась как основа для других решений, в том числе для банковских систем и специализированной инфраструктуры для конструкторских бюро. То есть речь идёт не просто о лабораторной разработке, а о продукте, который Rubytech уже пытается встроить в более широкую линейку своих ИТ-решений.

RSS: Новости на портале Anti-Malware.ru