InputPlumber の脆弱性 CVE-2025-66005／14338 が FIX：UI 入力インジェクションと DoS の可能性

Critical InputPlumber Vulnerabilities Allows UI Input Injection and Denial-of-Service

2026/01/12 CyberSecurityNews — SteamOS で使用される Linux 入力デバイス・ユーティリティ InputPlumber に発見されたのは、不十分な D-Bus 認証メカニズムに起因する深刻な脆弱性 CVE-2025-66005／CVE-2025-14338 である。この脆弱性を悪用した攻撃者は UI 入力を不正に挿入することで、影響を受けるシステム上でサービス拒否状態を引き起こす可能性がある。SUSE の研究者により調査された 2 件の脆弱性が、InputPlumber バージョン 0.69.0 未満に影響を及ぼすことが確認されている。

InputPlumber は Linux 入力デバイスを仮想入力デバイスへ統合するコンポーネントであり、root 権限で実行される。そのため、これらの脆弱性は特に危険性が高い。

CVE IDIssueAffected VersionsImpact
CVE-2025-66005Missing authorization in D-Bus interface< v0.63.0DoS, info leak, privilege escalation
CVE-2025-14338Polkit auth disabled + auth race condition< v0.69.0DoS, info leak, privilege escalation

低権限ユーザーであっても、脆弱性 CVE-2025-66005／CVE-2025-14338 を悪用することで、認証を必要とせずに InputPlumber の D-Bus サービスへのアクセスが可能となる。攻撃者は、このアクセス権を複数の方法で悪用できる。

  • UI 入力インジェクション：攻撃者は仮想キーボード・デバイスを作成し、アクティブなユーザー・セッションへキーストロークを挿入できる。その結果として、カレント・ログイン・ユーザーのコンテキストで任意コードの実行が可能となり、セッションおよびデータを侵害する可能性を得る。
  • サービス拒否 (DoS) ：CreateCompositeDevice メソッドはクライアントからのファイルパスを受け入れるため、”/dev/zero” などの特殊ファイルを指定する攻撃者により、メモリ枯渇が引き起こされる可能性がある。
  • 情報漏洩：同様の手法により、ファイルの存在を確認することが可能となり、通常は低権限ユーザーがアクセスできない “/root/.bash_history” などのファイルから情報が漏洩する可能性が生じる。

これらの脆弱性は、InputPlumber を実行する SteamOS などの、Linux ゲーム・システムに影響する。すでに Valve は、SteamOS 3.7.20 をリリースし、その中で InputPlumber v0.69.0 への更新を行い、この脆弱性を修正している。

アップストリーム開発者も、適切な Polkit 認証への切り替え／デフォルトでの認証有効化／systemd の強化により、ほとんどの問題への対処を完了している。ただし、パス名ではなくファイル記述子を使用する D-Bus API の一部改善は、現時点ではまだマージされていない。

SUSE の研究者たちは、特にゲームシステムおよび SteamOS 環境において、InputPlumber v0.69.0 以降への速やかなアップデートが必要であると、システム管理者に強く警告している。SUSE のセキュリティ研究者と InputPlumber 開発者の間で実施された、調整済み情報開示プロセスにより、公開前に修正プログラムが提供された。

SteamOS などのゲーム環境を支える InputPlumber という重要なツールに、権限昇格やサービス拒否につながる深刻な脆弱性が発見されました。この問題の原因は、システム内の通信を管理する D-Bus インターフェイスにおける不十分な認証チェックにあります。具体的には、 root 権限で動作する InputPlumber が、本来であれば制限されるべき低権限ユーザーからの命令を、正しく認証せずに受け入れてしまう不備がありました。これにより、攻撃者は偽のキーボード入力を送り込んで勝手にプログラムを実行したり、 “/dev/zero” のような特殊なファイルを読み込ませてメモリを枯渇させることが可能になっていました。ご利用のチームは、ご注意ください。よろしければ、Linux での検索結果も、ご参照ください。