CVE-2026-112939
Publiée le 2026-10-20 · Dernière modification le 2026-10-21
Les utilisateurs de Python employant la bibliothèque `filelock` (versions 3.22.0 à 4.2.0) pour le verrouillage de fichiers multiplateforme sont concernés. Le problème se situe dans l'implémentation de `SoftFileLock`, qui s'appuie sur des identifiants de processus stockés dans des fichiers marqueurs pour gérer l'accès. Comme la bibliothèque fait confiance à des identifiants falsifiés dans ces marqueurs, un processus malveillant peut tromper le système en lui faisant croire qu'un verrou est obsolète.
Un attaquant disposant d'un accès à un compte local peut manipuler ces marqueurs pour forcer la levée d'un verrouillage de fichier, compromettant ainsi l'intégrité du mécanisme de verrouillage. Cela permet à un processus non autorisé d'accéder à un fichier verrouillé alors qu'un autre processus pense toujours en avoir le contrôle exclusif. L'exploitation est difficile, car elle nécessite un accès au réseau local et des permissions spécifiques, mais elle ne requiert aucune interaction de la part de l'utilisateur légitime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
filelock is a platform-independent file lock for Python. From 3.22.0 until 4.2.1, SoftFileLock can trust a forged process identifier in a marker that an attacker can modify but cannot remove, allowing an authorized contender such as another process of the holder's account or root to act as a confused deputy, remove the live marker, and admit another holder. This issue is fixed in version 4.2.1.