리눅스 입력 장치 관리의 핵심인 libinput 라이브러리에 긴급 업데이트가 적용되었습니다. 조작된 주변기기가 udev 시스템을 속일 수 있는 취약점이 발견되었습니다. 공격자는 관리자 권한으로 악성 코드를 실행할 수 있으며, 직접적인 물리적 접근 없이도 시스템 보안을 위협할 수 있습니다.
udev를 속이는 방법: 가짜 마우스가 시스템을 장악하다 🖱️
이 결함은 libinput이 장치 이벤트를 처리하는 방식에 있습니다. 사기성 주변기기는 udev가 시스템 규칙을 수정하기 위한 유효한 명령으로 해석하는 데이터를 주입할 수 있습니다. 이를 통해 공격자는 권한을 상승시키고 임의의 명령을 실행할 수 있습니다. 이번 수정에서는 각 이벤트의 출처를 엄격하게 검증하여 가짜 키보드나 마우스가 승인된 다른 하드웨어를 사칭하는 것을 방지합니다.
당신의 키보드는 당신을 싫어합니다 (그리고 이제 시스템을 삭제할 수도 있습니다) ⌨️
당신의 키보드에 고유한 생명체가 있다고 항상 의심했겠지만, 이제는 장난감 마우스가 가운을 입은 해커보다 더 큰 피해를 줄 수 있다는 사실이 밝혀졌습니다. 좋은 소식은 더 이상 안전을 위해 주변기기를 망치로 내리칠 필요가 없다는 것입니다. libinput을 업데이트하고 사무실 마우스를 두려워하지 마세요. 적어도 다음 패치가 나올 때까지는 말이죠.