Vulnerabilidades críticas en InputPlumber, una utilidad de dispositivos de entrada para Linux utilizada en SteamOS, podrían permitir a los atacantes inyectar entradas en la interfaz de usuario y provocar condiciones de denegación de servicio en los sistemas afectados.

Los investigadores de SUSE rastrearon estas vulnerabilidades como CVE-2025-66005 y CVE-2025-14338, que afectan a las versiones de InputPlumber anteriores a la v0.69.0 y surgen de mecanismos inadecuados de autorización en D-Bus.

InputPlumber combina dispositivos de entrada de Linux en dispositivos virtuales y se ejecuta con privilegios de root completos, lo que hace que estas fallas sean particularmente peligrosas.

Las vulnerabilidades permiten que cualquier usuario en el sistema, incluyendo cuentas con bajos privilegios, acceda al servicio D-Bus de InputPlumber sin autenticación.

Los atacantes explotan este acceso de múltiples formas

Inyección de entradas en la UI: Los actores maliciosos pueden crear dispositivos de teclado virtuales e inyectar pulsaciones de teclas en sesiones activas de usuarios.

Esto podría llevar a la ejecución arbitraria de código en el contexto del usuario actualmente conectado, comprometiendo su sesión y datos.

Denegación de servicio: El método CreateCompositeDevice acepta rutas de archivos de los clientes, permitiendo a los atacantes provocar agotamiento de memoria al pasar archivos especiales como /dev/zero.

Fuga de información: El mismo método puede realizar pruebas de existencia de archivos y filtrar información sensible de archivos normalmente inaccesibles para usuarios con bajos privilegios, como /root/.bash_history.

Las vulnerabilidades afectan principalmente a sistemas de juegos en Linux que ejecutan InputPlumber, incluyendo SteamOS. Valve ha lanzado SteamOS 3.7.20, que incluye la corrección de InputPlumber v0.69.0.

Los desarrolladores principales han solucionado la mayoría de los problemas cambiando a una autenticación adecuada con Polkit, habilitando la autorización por defecto y aplicando endurecimiento con systemd.

Sin embargo, algunas mejoras en la API de D-Bus que utilizan descriptores de archivos en lugar de nombres de ruta aún no se han fusionado.

Los investigadores de SUSE recomiendan a los administradores de sistemas actualizar inmediatamente a InputPlumber v0.69.0 o posterior, especialmente en sistemas de juegos e instalaciones de SteamOS.

El proceso de divulgación coordinada entre los investigadores de seguridad de SUSE y los desarrolladores de InputPlumber garantizó que las correcciones estuvieran disponibles antes de la divulgación pública.