CVE-2026-22701
Açıklama
filelock, Python için platformdan bağımsız bir dosya kilitleme mekanizmasıdır. Versiyon 3.20.3 öncesinde, filelock paketinin SoftFileLock uygulamasında bir TOCTOU yarış durumu (race condition) zafiyeti bulunmaktadır. Yerel dosya sistemi erişimine ve sembolik bağlantı oluşturma yetkisine sahip bir saldırgan, izin doğrulaması ile dosya oluşturma arasındaki yarış durumunu istismar ederek kilit işlemlerinin başarısız olmasına veya beklenmedik şekilde davranmasına neden olabilir. Zafiyet, _acquire() metodunda, raise_on_not_writable_file() (izin kontrolü) ile os.open() (dosya oluşturma) arasında meydana gelmektedir. Bu yarış penceresi sırasında bir saldırgan, kilit dosyası yolunda bir sembolik bağlantı oluşturarak kilidin istenmeyen bir hedef dosya üzerinde çalışmasına neden olabilir veya hizmet reddine yol açabilir. Bu sorun versiyon 3.20.3 ile düzeltilmiştir.
Nasıl düzeltilir
- tox-dev filelock3.20.3 ya da sonraki bir sürüm
- filelock3.20.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tox-dev filelock | v < 3.20.3 | 3.20.3 |
| filelockPyPI | v < 3.20.3 | 3.20.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.