Magic Wormhole: "wormhole receive" permite la sobrescritura arbitraria de archivos locales

Esta vulnerabilidad presenta un riesgo significativo, ya que permite a un atacante comprometer el sistema receptor mediante la sobrescritura de archivos sensibles. El archivo ~/.ssh/authorized_keys controla el acceso a través de SSH, y su modificación podría permitir al atacante acceder al sistema sin necesidad de credenciales. La sobrescritura de .bashrc podría alterar el entorno de shell del usuario, permitiendo la ejecución de comandos maliciosos al iniciar una nueva sesión. Es crucial destacar que el atacante debe ser el remitente del archivo para explotar esta vulnerabilidad, lo que limita el alcance del ataque a interacciones directas.

Users who rely on magic-wormhole for secure file transfer, particularly those using it to transfer sensitive data or manage SSH keys, are at risk. Systems with legacy configurations or those running older versions of Python where upgrading is difficult are also more vulnerable. Shared hosting environments where multiple users share the same system and SSH keys could experience widespread compromise if exploited.

• python / system:

python3 -c 'import magic_wormhole; print(magic_wormhole.__version__)'

• python / system: Check for unusual file modifications in ~/.ssh/authorized_keys and .bashrc using git diff or similar version control tools. • python / system: Monitor process execution for magic_wormhole with unusual command-line arguments. • python / system: Review system logs for errors or warnings related to file overwrites during wormhole receive operations.

1. 2026-03-13Disclosure

   disclosure

1. Reservado2026-03-10
2. Publicada2026-03-13
3. EPSS actualizado2026-03-23

La mitigación principal es actualizar magic-wormhole a la versión 0.23.0 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda evitar recibir archivos de fuentes no confiables. Como medida temporal, se podría implementar un sistema de respaldo de archivos críticos, permitiendo la restauración en caso de una sobrescritura accidental. No existen reglas WAF o proxies específicas para esta vulnerabilidad, ya que se basa en la manipulación de archivos durante la recepción. La verificación de la corrección se puede realizar después de la actualización, confirmando que la versión instalada es 0.23.0 o superior mediante python -c "import magicwormhole; print(magicwormhole.version)".