Linux Distros 未修补的漏洞：CVE-2025-68146
medium Nessus 插件 ID 278912
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- filelock 是针对 Python 的平台无关文件锁定。在 3.20.1之前的版本中检查时间和使用时间 (TOCTOU) 争用条件允许本地攻击者通过符号链接攻击损坏或截断任意用户文件。Unix 和 Windows 锁定文件创建过程中存在此漏洞其中 filelock 在使用 O_TRUNC 打开文件之前会检查该文件是否存在。攻击者可在检查和打开文件之间的时间间隔中创建指向受害者文件的符号链接造成 os.open() 追踪该符号链接并截断目标文件。Unix、Linux、macOS 和 Windows 系统上的所有 filelock 用户都会受到影响。
漏洞级联到依赖的库。攻击需要具备本地文件系统访问权限并且能够创建 symlinkUnix 上为标准用户权限Windows 10+ 上为开发人员模式。当锁定文件路径可预测时漏洞利用 1-3 次尝试便可成功。已在版本 3.20.1中修复此问题。
如果无法立即升级请使用 SoftFileLock而不是 UnixFileLock/WindowsFileLock注意
不同的锁定语义可能不适用于所有用例确保锁定文件目录具有限制性权限 (chmod 0700) 以防止不受信任的用户创建符号链接和/或 在运行受信任的应用程序之前，应监控可疑符号链接的锁定文件目录。这些变通方案仅提供部分缓解。争用条件仍然可被利用。强烈建议升级到版本 3.20.1 。 (CVE-2025-68146)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 278912
文件名: unpatched_CVE_2025_68146.nasl
版本: 1.2
类型: local
代理: unix
系列: Misc.
发布时间: 2025/12/16
最近更新时间: 2025/12/17
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.0
CVSS v2
风险因素: Medium
基本分数: 5.4
时间分数: 4.6
矢量: CVSS2#AV:L/AC:M/Au:N/C:C/I:P/A:N
CVSS 分数来源: CVE-2025-68146
CVSS v3
风险因素: Medium
基本分数: 6.3
时间分数: 5.8
矢量: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:debian:debian_linux:14.0, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:python-filelock, cpe:/o:canonical:ubuntu_linux:25.04, p-cpe:/a:canonical:ubuntu_linux:python-filelock, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:debian:debian_linux:13.0, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:debian:debian_linux:12.0
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2025/12/16
参考资料信息
CVE: CVE-2025-68146