Magic Wormhole: "wormhole receive" अनुमति देता है मनमाना स्थानीय फ़ाइल ओवरराइट

यह भेद्यता हमलावर को रिसीवर के सिस्टम पर महत्वपूर्ण फ़ाइलों को ओवरराइट करने की अनुमति देती है। विशेष रूप से, ~/.ssh/authorized_keys फ़ाइल को ओवरराइट करने से हमलावर SSH के माध्यम से सिस्टम तक अनधिकृत पहुंच प्राप्त कर सकता है। .bashrc फ़ाइल को ओवरराइट करने से हमलावर उपयोगकर्ता के शेल वातावरण को संशोधित कर सकता है, जिससे सिस्टम के व्यवहार को नियंत्रित किया जा सकता है। यह भेद्यता केवल फ़ाइल भेजने वाले (sender) द्वारा ही शोषण की जा सकती है, न कि ट्रांजिट/रिले सर्वर द्वारा।

Users who rely on magic-wormhole for secure file transfer, particularly those using it to transfer sensitive data or manage SSH keys, are at risk. Systems with legacy configurations or those running older versions of Python where upgrading is difficult are also more vulnerable. Shared hosting environments where multiple users share the same system and SSH keys could experience widespread compromise if exploited.

• python / system:

python3 -c 'import magic_wormhole; print(magic_wormhole.__version__)'

• python / system: Check for unusual file modifications in ~/.ssh/authorized_keys and .bashrc using git diff or similar version control tools. • python / system: Monitor process execution for magic_wormhole with unusual command-line arguments. • python / system: Review system logs for errors or warnings related to file overwrites during wormhole receive operations.

1. 2026-03-13Disclosure

   disclosure

1. आरक्षित2026-03-10
2. प्रकाशित2026-03-13
3. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, magic-wormhole को संस्करण 0.23.0 या उससे ऊपर के संस्करण में तुरंत अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो फ़ाइलों को प्राप्त करते समय अतिरिक्त सावधानी बरतें, खासकर उन स्रोतों से जिनसे आप परिचित नहीं हैं। फ़ाइल प्राप्त करने से पहले, फ़ाइल के नाम और सामग्री की जांच करें। फ़ाइल प्राप्त करने के बाद, तुरंत अपनी महत्वपूर्ण फ़ाइलों का बैकअप लें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, wormhole receive कमांड का उपयोग करके एक परीक्षण फ़ाइल प्राप्त करें और देखें कि क्या कोई अनपेक्षित फ़ाइल ओवरराइटिंग होती है।