CVE-2026-112935 SoftFileLock de filelock elimina un bloqueo activo por reutilización de inodo
En filelock desde 3.22.0 hasta 4.2.1, SoftFileLock puede romper un marcador obsoleto cuando un atacante libera su propio marcador tras la lectura obsoleta y un contendiente honesto crea un sucesor activo en el inodo reutilizado, eliminando el marcador activo y admitiendo dos titulares. Se corrige en la versión 4.2.1.
CVSS 3.1
- Probabilidad de explotación0,1 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
tox-dev filelock
>= 3.22.0, < 4.2.1
Qué hacer
- Verificá si usás filelock y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.7 MEDIA
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N
- Vector de ataqueLocal
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
filelock is a platform-independent file lock for Python. From 3.22.0 until 4.2.1, SoftFileLock can break a stale marker after an attacker frees its own marker following the stale read, an honest contender creates a live successor on the reused inode, and the successor's modification time is not newer than the saved observation, causing the live marker to be removed and two holders to be admitted. This issue is fixed in version 4.2.1.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.