CVE-2025-68146 in filelock
Sumário
de VulDB • 16/06/2026
filelock é um bloqueio de arquivo independente de plataforma para Python. Nas versões anteriores à 3.20.1, uma condição de corrida Time-of-Check-Time-of-Use (TOCTOU) permite que atacantes locais corrompam ou truncam arquivos arbitrários de usuários por meio de ataques de symlink. A vulnerabilidade existe tanto na criação de arquivos de bloqueio no Unix quanto no Windows, onde o filelock verifica se um arquivo existe antes de abri-lo com O_TRUNC. Um atacante pode criar um symlink apontando para um arquivo da vítima no intervalo de tempo entre a verificação e a abertura, fazendo com que o os.open() siga o symlink e trunque o arquivo de destino. Todos os usuários do filelock em sistemas Unix, Linux, macOS e Windows são afetados. A vulnerabilidade se propaga para bibliotecas dependentes. O ataque requer acesso ao sistema de arquivos local e capacidade de criar symlinks (permissões padrão de usuário no Unix; Modo Desenvolvedor no Windows 10+). A exploração tem sucesso em 1-3 tentativas quando os caminhos dos arquivos de bloqueio são previsíveis. O problema foi corrigido na versão 3.20.1. Se a atualização imediata não for possível, use SoftFileLock em vez de UnixFileLock/WindowsFileLock (nota: semântica de bloqueio diferente, pode não ser adequada para todos os casos de uso); garanta que os diretórios dos arquivos de bloqueio tenham permissões restritivas (chmod 0700) para impedir que usuários não confiáveis criem symlinks; e/ou monitore os diretórios dos arquivos de bloqueio em busca de symlinks suspeitos antes de executar aplicativos confiáveis. Essas soluções alternativas fornecem apenas mitigação parcial. A condição de corrida permanece explorável. A atualização para a versão 3.20.1 é fortemente recomendada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.