CVE-2026-112911
Publiée le 2026-10-20 · Dernière modification le 2026-10-28
La bibliothèque Python `filelock`, utilisée pour empêcher plusieurs processus d'accéder simultanément au même fichier, est affectée dans les versions 3.30.0 à 4.2.0 de `StrictSoftFileLock` et les versions 4.0.0 à 4.2.0 de `SoftReadWriteLock`. La faille existe car la bibliothèque peut être trompée pour utiliser un répertoire de verrouillage créé par un autre utilisateur local dans un dossier partagé. En créant ce répertoire au préalable, un utilisateur malveillant peut manipuler l'état interne du verrou.
Un attaquant disposant d'un accès utilisateur local peut contourner le mécanisme de verrouillage pour obtenir un accès concurrent à un fichier protégé, compromettant ainsi l'intégrité et la disponibilité des données. Cela lui permet de corrompre des fichiers ou de provoquer le plantage d'applications en ignorant la synchronisation prévue. L'exécution est difficile et nécessite que l'attaquant possède déjà un accès à un compte local et synchronise précisément la création du répertoire avant le démarrage de l'application cible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
filelock is a platform-independent file lock for Python. From 3.30.0 until 4.2.1, StrictSoftFileLock versions from 3.30.0 and SoftReadWriteLock versions from 4.0.0 can adopt a protocol directory created first by another local user in a shared parent directory, allowing that user to alter protocol state and admit concurrent holders. This issue is fixed in version 4.2.1.