バグ概要: CVE-2026-35094 (Bug 2583840) 脆弱性情報 タイトル/ID: libinput: Information disclosure via dangling pointer in Lua plugin handling 説明: Lua プラグインの処理中にダイナミックポインタ（懸垂ポインタ）の脆弱性が存在します。攻撃者は特定の Lua ファイル（ または に配置）をデプロイし、 清理関数を呼び出して懸垂ポインタを残すことができます。このポインタはその後システムログに出力される可能性があり、メモリ位置が再利用された場合、機密データの漏洩につながる可能性があります。 発生条件: libinput で Lua プラグインが有効化され、コネクタによって読み込まれている必要があります。Fedora 43 および 44 では、 内の ファイルを通じて ディレクトリが有効化されており、かつ libinput がシステム起動時にプラグインを自動的に読み込む場合、影響を受けます。 影響範囲 製品: libinput OS: Linux 影響を受けるバージョン: Fedora 43 および 44 （注釈によると、現在の RHEL バージョンには影響しません） 重大度: Medium (中) ステータス: NEW (新規) 修正方針 具体的な修正パッチやバージョン番号は提供されていません（ステータスが NEW であり、「Fixed in Version」が「Close Old」となっており、旧バージョンに影響があり新修正バージョンは機密保持中または開発中であることを示唆しています）。 POC/エクスプロイトコード ページ内に具体的な POC コードブロックは含まれていません。攻撃者が Lua ファイルをデプロイし 関数を呼び出す必要があることは本文で言及されていますが、コード例はありません。