Vulnerabilità ed exploit · Exploit zero-day

Il terminale di Marimo apre la strada al cloud in otto secondi

Sysdig ha osservato lo sfruttamento attivo di CVE-2026-39987 in Marimo. Da un notebook vulnerabile, un operatore umano è arrivato a un SSH bastion in otto secondi. La falla colpisce Marimo fino alla 0.20.4 ed è corretta nella 0.23.0.

Il punto debole è il terminal endpoint pre-auth: saltava il controllo di autenticazione applicato agli altri WebSocket e apriva una shell interattiva come utente del processo, senza credenziali. Da lì Sysdig ha visto il recupero di credenziali cloud dall’ambiente e dal backend Redis dell’app, con riuso contro AWS fino a ottenere una chiave privata in Secrets Manager e poi il bastion.

Per chi esegue notebook su host che contengono credenziali cloud, questa non è solo una RCE applicativa. Un endpoint esposto può diventare accesso all’account cloud e ai sistemi a valle quasi subito.

1 fonte · 8 ore fa

Cronologia

• 14 set Segnalato da Infosecurity Magazine
• 7 mag Scadenza federale CISA per CVE-2026-39987 superata
• 23 apr CVE-2026-39987 aggiunto al KEV CISA

Fonti

• 14 set Infosecurity Magazine

  Human Attacker Hits Machine-Speed Exploitation of Marimo RCE

  A human attacker exploited a Marimo RCE and reached an SSH bastion in eight seconds

  originale

Part of the PlainSec briefing for 2026-09-14

Every edition of this story: Il terminale di Marimo apre la strada al cloud in otto secondi

Altro da oggi

• Vite esposto apre la strada alle credenziali cloud
• La fiducia nel confidential computing si rompe sulla freschezza
• ENISA centralizza i report CRA in un solo canale