Magic Wormhole: "wormhole receive" コマンドで任意のローカルファイルの上書きを許容する

この脆弱性は、magic-wormholeのwormhole receiveコマンドを使用してファイルを悪意のある送信者から受信した場合に発生します。攻撃者は、巧妙に細工されたファイルを送信することで、受信者のローカルファイルを上書きできます。特に、~/.ssh/authorized_keysや.bashrcといった重要なファイルが上書きされると、SSH認証情報の漏洩や、環境変数の悪用によるシステム制御の奪取といった深刻な被害につながる可能性があります。攻撃者は、magic-wormholeのプロトコル設計により、送信者のみがこの攻撃を実行できることに注意が必要です。中継サーバーやその他の受信者は影響を受けません。

Users who rely on magic-wormhole for secure file transfer, particularly those using it to transfer sensitive data or manage SSH keys, are at risk. Systems with legacy configurations or those running older versions of Python where upgrading is difficult are also more vulnerable. Shared hosting environments where multiple users share the same system and SSH keys could experience widespread compromise if exploited.

• python / system:

python3 -c 'import magic_wormhole; print(magic_wormhole.__version__)'

• python / system: Check for unusual file modifications in ~/.ssh/authorized_keys and .bashrc using git diff or similar version control tools. • python / system: Monitor process execution for magic_wormhole with unusual command-line arguments. • python / system: Review system logs for errors or warnings related to file overwrites during wormhole receive operations.

1. 2026-03-13Disclosure

   disclosure

1. 予約済み2026-03-10
2. 公開日2026-03-13
3. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、magic-wormholeをバージョン0.23.0以降にアップデートすることです。アップデートが困難な場合は、信頼できない送信者からのファイル受信を避けるようにしてください。また、WAFやプロキシサーバーを使用して、悪意のあるファイル送信を検知・遮断することも有効です。さらに、~/.ssh/authorized_keysや.bashrcといった重要なファイルのアクセス権を制限し、不正な書き込みを防止することも推奨されます。アップデート後、wormhole --versionコマンドを実行し、バージョンが0.23.0以降であることを確認してください。