CVE-2026-39987-PoC

Descargo de responsabilidad Este script es SOLO para fines educativos y de pruebas autorizadas. El uso no autorizado de esta herramienta contra sistemas sin permiso explícito es ILEGAL. El autor no es responsable de ningún uso indebido de esta información.

Las versiones de Marimo anteriores a 0.23.0 tienen una vulnerabilidad crítica de ejecución remota de comandos (RCE) sin autenticación previa. El endpoint /terminal/ws no implementa controles de acceso adecuados, lo que permite a un atacante no autenticado obtener acceso completo a un shell interactivo del sistema.

Identificación

Dork de Shodan

http.favicon.hash:-1864630356

Dork de Censys

services.http.response.favicons.hashes: -1864630356

Huella digital

• Hash del favicon: -1864630356
• Versión del endpoint: /api/version

Instalación

Requiere Python 3.10+. Las dependencias se gestionan con uv, de Astral.

# install uv (skip if already installed)
curl -LsSf https://astral.sh/uv/install.sh | sh

uv venv
uv pip install -r requirements.txt

Uso

uv run poc.py -t <target_url>

• -t, --target_url (obligatorio): URI WebSocket del endpoint /terminal/ws del objetivo.

uv run poc.py -t wss://<target-host>/terminal/ws

Una vez conectado, obtienes una sesión pty interactiva sin procesar. Comandos adicionales disponibles localmente (nunca se envían al shell remoto tal como se escriben):

Pulsa Ctrl+C para interrumpir/salir.

Mitigación

• Parche: Actualiza Marimo a >= 0.23.0, que corrige la falta de control de acceso en /terminal/ws.
• Restringe la exposición en red: No expongas el servidor de terminal/edición de Marimo directamente a Internet. Vincúlalo a localhost o a una interfaz interna y colócale delante una VPN/bastión para el acceso remoto.
• Añade autenticación: Si la actualización no es posible de inmediato, coloca el servicio detrás de un proxy inverso que exija autenticación (p. ej., proxy OAuth2, mTLS) delante de /terminal/ws y de otras rutas de API.
• Segmentación de red: Protege el puerto con un cortafuegos para que solo IPs/rangos de VPN de confianza puedan acceder a él.
• Detección: Supervisa las conexiones WebSocket inesperadas a /terminal/ws y la actividad de shell no autenticada en los registros del servidor; los dorks de Shodan/Censys anteriores también pueden usarse de forma defensiva para encontrar tus propias instancias expuestas y sin parchear.

Referencias:

• https://nvd.nist.gov/vuln/detail/CVE-2026-39987
• https://lyrie.ai/research/research/cve-2026-39987-marimo-pre-auth-rce-root-in-one-request