CVE-2025-68146 in filelock
要約
〜によって VulDB • 2026年06月17日
filelock は Python のためのプラットフォーム非依存のファイルロックライブラリです。バージョン 3.20.1 より前のバージョンでは、Time-of-Check-Time-of-Use (TOCTOU) race condition（チェック時と使用時の競合状態）により、ローカル攻撃者がシンボリックリンク攻撃を通じて任意のユーザーファイルを破損または切り詰めることが可能です。この脆弱性は、filelock が O_TRUNC オプションでファイルを開く前にその存在を確認する Unix および Windows のロックファイル作成処理の両方に存在します。攻撃者はチェックと open 操作の間の時間的ギャップを利用して被害者ファイルを指すシンボリックリンクを作成し、os.open() システムコールがシンボリックリンクをフォローして対象ファイルを切り詰めることを引き起こします。Unix、Linux、macOS、Windows システム上の filelock のすべてのユーザーに影響があります。この脆弱性は依存ライブラリにも波及します。攻撃にはローカルファイルシステムへのアクセスとシンボリックリンクの作成能力が必要です（Unix では標準的なユーザー権限で可能；Windows 10 以降では開発者モードが必要）。ロックファイルパスが予測可能な場合、攻撃は通常 1〜3 回の試行内で成功します。この問題はバージョン 3.20.1 で修正されています。即時のアップグレードができない場合は、UnixFileLock/WindowsFileLock の代わりに SoftFileLock を使用してください（ただし、異なるロックセマンティクスを持ち、すべてのユースケースに適しているわけではありません）。また、信頼できないユーザーがシンボリックリンクを作成できないよう、ロックファイルディレクトリの権限を厳格に制限すること（chmod 0700）と、信頼できるアプリケーションを実行する前にロックファイルディレクトリ内で不審なシンボリックリンクがないか監視することを推奨します。これらの回避策は部分的な緩和措置でありのみです。競合状態の脆弱性は依然として悪用可能です。バージョン 3.20.1 へのアップグレードを強く推奨します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.