filelock 软锁 inode 复用竞态漏洞修复

filelock 发布安全通告称，4.1.0 及之后版本的 SoftFileLock、MarkerSoftFileLock 与 SoftFileLease 仅凭 mtime 和 inode 判断锁文件是否被持续观察，存在互斥失效风险；4.2.1 已修复。 通告描述的攻击条件是：同一目录（包括带 sticky 位的 /tmp）下能创建文件的另一本地用户，在锁路径放置自己的空文件；在会立即复用已释放 inode 号的文件系统（ext4、ext4 上的 overlayfs）上，锁用户的下一个标记会重复这两个值，导致锁用户的两个进程同时进入临界区，且双方都不会收到错误。 通告称，4.1.0 之前的版本、不会立即复用 inode 号的文件系统（tmpfs、btrfs）以及只有一个竞争者的锁不受影响。

AI 根据报道生成 · 3 小时前更新