CVE-2025-68146

إصدارات filelock الأقدم من 3.20.1

Filelock هو آلية لحظر الملفات مستقلة عن النظام الأساسي ومخصصة للغة Python. تسمح حالة التنافس بين وقت الفحص ووقت الاستخدام (TOCTOU) للمهاجمين المحليين بإتلاف أو اقتطاع ملفات عشوائية تابعة للمستخدم من خلال هجمات عبر الروابط الرمزية (symlink). تكمن المشكلة في عملية إنشاء قفل الملف، حيث يتحقق البرنامج من وجود الملف قبل فتحه باستخدام O TRUNC. يمكن للمهاجم إنشاء رابط رمزي يشير إلى ملف الضحية بين مرحلة التحقق ومرحلة الفتح، مما يجعل النظام يتبع الرابط الرمزي ويقوم باقتطاع الملف الهدف. يؤثر هذا على المستخدمين في أنظمة Unix وLinux وmacOS وWindows. يتطلب الهجوم وصولاً محليًّا إلى نظام الملفات والقدرة على إنشاء روابط رمزية. يمكن أن تنجح عملية الاستغلال في غضون 1 إلى 3 محاولات عندما تكون مسارات ملفات القفل متوقعة.

قم بالتحديث إلى الإصدار 3.20.1.

إذا لم يكن التحديث الفوري ممكنًا، فاستخدم SoftFileLock بدلاً من UnixFileLock/WindowsFileLock.

تأكد من أن الدلائل التي تحتوي على ملفات القفل تتمتع بأذونات مقيدة (chmod 0700) لمنع المستخدمين غير الموثوق بهم من إنشاء روابط رمزية.

راقب الدلائل التي تحتوي على ملفات القفل بحثًا عن روابط رمزية مشبوهة قبل تشغيل التطبيقات الموثوقة.