Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - filelock は、Python のプラットフォームに依存しないファイルロックです。3.20.1 より前のバージョンでは、Time-of-Check-Time-of-Use(TOCTOU)競合状態により、ローカルの攻撃者が、シンボリックリンク攻撃を通じて、任意のユーザーファイルを破損または切り捨てることが可能です。この脆弱性はUnixロックファイル作成とWindowsロックファイル作成の両方に存在します。ファイルロックはファイルをO_TRUNCで開く前にファイルが存在するかどうかをチェックします。攻撃者が、チェックとオープンの間の時間のギャップで被害者のファイルを指すシンボリックリンクを作成し、os.open() にシンボリックリンクをたどらせ、ターゲットファイルを切り捨てる可能性があります。Unix、Linux、macOS、Windowsシステムのfilelockのすべてのユーザーが影響を受けます。
    この脆弱性は、依存するライブラリにカスケード波及します。この攻撃には、ローカルファイルシステムへのアクセスとシンボリックリンクを作成する能力が必要です(Unixの標準ユーザー権限;Windows 10+の開発者モード)。ロックファイルパスが予測可能な場合、悪用は 1 〜 3 回以内に成功します。この問題はバージョン 3.20.1 で修正されています。
    すぐにアップグレードできない場合は、UnixFileLock/WindowsFileLock の代わりに SoftFileLock を使用してください(注:
    異なるロックセマンティックは、すべてのユースケースに適しているとは限りません)。ロックファイルディレクトリに限定的な権限(chmod 0700)があることを確認し、信頼できないユーザーがシンボリックリンクを作成することを防止します。および/またはモニターは、信頼できるアプリケーションを実行する前に、疑わしいシンボリックリンクがあるかファイルディレクトリをロックします。これらの回避策では、部分的な緩和しか提供しません。競合状態は悪用可能なままです。バージョン 3.20.1 にアップグレードすることを強くお勧めします。(CVE-2025-68146)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-68146

medium Nessus プラグイン ID 278912

バージョン 1.16