CVE-2025-68146 [中] | Security Vulnerability（Filelock）

filelock is a platform-independent file lock for Python. In versions prior to 3.20.1, a Time-of-Check-Time-of-Use (TOCTOU) race condition allows local attackers to corrupt or truncate arbitrary user files through symlink attacks. The vulnerability exists in both Unix and Windows lock file creation where filelock checks if a file exists before opening it with O_TRUNC. An attacker can create a symlink pointing to a victim file in the time gap between the check and open, causing os.open() to follow the symlink and truncate the target file. All users of filelock on Unix, Linux, macOS, and Windows systems are impacted. The vulnerability cascades to dependent libraries. The attack requires local filesystem access and ability to create symlinks (standard user permissions on Unix; Developer Mode on Windows 10+). Exploitation succeeds within 1-3 attempts when lock file paths are predictable. The issue is fixed in version 3.20.1. If immediate upgrade is not possible, use SoftFileLock instead of UnixFileLock/WindowsFileLock (note: different locking semantics, may not be suitable for all use cases); ensure lock file directories have restrictive permissions (chmod 0700) to prevent untrusted users from creating symlinks; and/or monitor lock file directories for suspicious symlinks before running trusted applications. These workarounds provide only partial mitigation. The race condition remains exploitable. Upgrading to version 3.20.1 is strongly recommended.

EDB-ID	ソース	種別	公開	リンク
—	nvd_ref	exploit_tag		Exploit-DB ↗

EDB-ID

ソース

種別

公開

リンク

—

nvd_ref

exploit_tag

Exploit-DB ↗

#	日付	旧 EPSS スコア	新 EPSS スコア	Δ（新 − 旧）
1	2026-06-15	0.01%	0.18%	+0.17%
2	2025-12-17	—	0.01%	—

日付

旧 EPSS スコア

新 EPSS スコア

Δ（新 − 旧）

2026-06-15

0.01%

0.18%

+0.17%

2025-12-17

—

0.01%

—

ベーススコア	バージョン	深刻度	ベクトル	悪用しやすさ	影響	スコアの出典
6.3	3.1	MEDIUM	`CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:H` クリックして展開攻撃ベクター (AV:L) 対象ホスト上でコードを実行できること、または別ユーザーの誤操作・悪意ある操作が前提になる。攻撃の複雑さ (AC:H) 到達できても、タイミング・負荷・周辺設定など、揃わないと成功しない局面が多い。必要な権限 (PR:L) 一般ユーザー権限があれば足り、管理者（root 相当）は不要。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:N) 機微情報の漏えいは想定しにくい。完全性への影響 (I:H) 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。可用性への影響 (A:H) 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。	1.0	5.2	[email protected]
6.5	3.1	MEDIUM	`CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:H` クリックして展開攻撃ベクター (AV:L) 対象ホスト上でコードを実行できること、または別ユーザーの誤操作・悪意ある操作が前提になる。攻撃の複雑さ (AC:H) 到達できても、タイミング・負荷・周辺設定など、揃わないと成功しない局面が多い。必要な権限 (PR:L) 一般ユーザー権限があれば足り、管理者（root 相当）は不要。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:L) 一部のデータや属性が漏えいしうるが、全件一括流出といった規模には至らない。完全性への影響 (I:H) 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。可用性への影響 (A:H) 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。	1.0	5.5	[email protected]

ベーススコア

バージョン

深刻度

ベクトル

悪用しやすさ

影響

スコアの出典

6.3

3.1

MEDIUM

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:H クリックして展開

攻撃ベクター (AV:L): 対象ホスト上でコードを実行できること、または別ユーザーの誤操作・悪意ある操作が前提になる。
攻撃の複雑さ (AC:H): 到達できても、タイミング・負荷・周辺設定など、揃わないと成功しない局面が多い。
必要な権限 (PR:L): 一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:N): 機微情報の漏えいは想定しにくい。
完全性への影響 (I:H): 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:H): 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。

1.0

5.2

[email protected]

6.5

3.1

MEDIUM

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:H クリックして展開

攻撃ベクター (AV:L): 対象ホスト上でコードを実行できること、または別ユーザーの誤操作・悪意ある操作が前提になる。
攻撃の複雑さ (AC:H): 到達できても、タイミング・負荷・周辺設定など、揃わないと成功しない局面が多い。
必要な権限 (PR:L): 一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:L): 一部のデータや属性が漏えいしうるが、全件一括流出といった規模には至らない。
完全性への影響 (I:H): 権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:H): 長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。

1.0

5.5

[email protected]

CVE-2025-68146 の弱点分類（列挙）

CVE-2025-68146 の OS トラッカー

vendor	priority	summary	link
`alpine`	—	CVE-2025-68146: 1 source package rows (py3-filelock); 6 state rows across 3 repos (3.23-main, edge-community, edge-main); fixed 0, open 6.	https://security.alpinelinux.org/vuln/CVE-2025-68146
`debian`	not yet assigned	CVE-2025-68146 not yet assigned priority: Debian including 1 source packages (python-filelock), 5 status rows across 5 suites (bookworm, bullseye, forky, sid, trixie): resolved 3, open 2.	https://security-tracker.debian.org/tracker/CVE-2025-68146
`redhat`	medium	—	https://access.redhat.com/security/cve/CVE-2025-68146
`suse`	medium	CVE-2025-68146 severity moderate: SUSE including 24 source package names (2.1.3-5.8:e2fsprogs-1.47.0-3.1, 2.1.3-5.8:libcom_err2-1.47.0-3.1, …), 75 product×package rows across 43 product lines (Container suse/multi-linux-manager/5.1/x86_64/server, Container suse/sl-micro/6.0/baremetal-os-container, … (43 product lines)): Fixed 74, First Fixed 1.	https://www.suse.com/security/cve/CVE-2025-68146/
`ubuntu`	medium	CVE-2025-68146 medium priority: Ubuntu including 1 source packages (python-filelock), 7 status rows across 7 suites (bionic, focal, jammy, noble, plucky, questing, upstream): released 4, ignored 1, needed 1, needs-triage 1.	https://ubuntu.com/security/CVE-2025-68146

CVE-2025-68146 の影響を受けるソフトウェア／構成

ベンダー	製品	バージョン	生の CPE
tox-dev	filelock	< 3.20.1	cpe:2.3:a:tox-dev:filelock::::::python::*

CVE-2025-68146 の参考情報

URL	タグ
https://github.com/tox-dev/filelock/commit/4724d7f8c3393ec1f048c93933e6e3e6ec321f0e	Patch
https://github.com/tox-dev/filelock/pull/461	Issue Tracking Patch
https://github.com/tox-dev/filelock/releases/tag/3.20.1	Product Release Notes
https://github.com/tox-dev/filelock/security/advisories/GHSA-w853-jp5j-5j7f	Exploit Mitigation Vendor Advisory

URL

タグ

https://github.com/tox-dev/filelock/commit/4724d7f8c3393ec1f048c93933e6e3e6ec321f0e

Patch

https://github.com/tox-dev/filelock/pull/461

Issue Tracking Patch

https://github.com/tox-dev/filelock/releases/tag/3.20.1

Product Release Notes

https://github.com/tox-dev/filelock/security/advisories/GHSA-w853-jp5j-5j7f

Exploit Mitigation Vendor Advisory