CVE-2026-112914
Publiée le 2026-10-20 · Dernière modification le 2026-10-21
Les utilisateurs de Python employant les versions 4.1.0 à 4.2.0 de la bibliothèque `filelock` sont concernés. Cette bibliothèque offre un moyen indépendant de la plateforme de verrouiller des fichiers afin d'empêcher plusieurs processus d'accéder simultanément à une ressource. La faille se situe dans `SoftFileLock`, qui peut être induite en erreur pour restaurer un marqueur de verrouillage obsolète via un lien symbolique si le répertoire de verrouillage n'est pas « sticky » et autorise le renommage.
Un attaquant local disposant de privilèges d'utilisateur basiques peut exploiter cette faille pour créer un lien physique vers un fichier sensible, compromettant ainsi l'intégrité et la confidentialité de ce fichier. Cela nécessite une complexité élevée, car l'attaquant doit avoir un accès en écriture au répertoire de verrouillage spécifique et synchroniser l'attaque avec précision. Aucune authentification ni interaction de l'utilisateur n'est requise, mais l'attaquant doit déjà disposer d'un accès local au réseau ou d'un accès shell au système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
filelock is a platform-independent file lock for Python. From 4.1.0 until 4.2.1, SoftFileLock can restore a stale marker by name after moving it aside, allowing another local user with rename access in a non-sticky lock directory to swap in a symbolic link and, on a runtime that follows the link and a same-filesystem target, make the lock user hard-link one of its files into the lock directory. This issue is fixed in version 4.2.1.