Red Hat 披露 filelock SoftFileLock 符号链接漏洞

Red Hat 在 CVE 数据库中披露 filelock 的 SoftFileLock 存在符号链接跟随导致的信息泄露漏洞，编号 CVE-2026-112912。GitHub 安全公告库（GHSA）随后说明：受影响版本为 filelock 4.1.0 至 4.2.0，4.2.1 已修复。 GHSA 称，漏洞出现在 SoftFileLock 恢复被判定为过期的锁标记时：break_lock_file() 先用 lstat 检查 break 名，再按名字调用 os.link，在 CPython 3.12 及以上的 Linux 和 macOS 上会跟随符号链接。能写入不带 sticky 位的共享锁目录的本地用户，可在两次调用之间把 break 名替换为符号链接。 GHSA 称，在测试设置下，带 sticky 位的目录、Linux 上的 CPython 3.11 以及 4.1.0 之前的版本不受影响。

AI 根据报道生成 · 3 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。