---

## भेद्यता का गहन विश्लेषण

### दो WebSocket एंडपॉइंट

Marimo का सर्वर विभिन्न सुविधाओं के लिए कई WebSocket एंडपॉइंट लागू करता है। दो मुख्य एंडपॉइंट के बीच महत्वपूर्ण अंतर एक प्रमाणीकरण जांच की उपस्थिति (या अनुपस्थिति) है:```
  Authentication Flow Comparison:

  /ws (Notebook WebSocket):
  ┌─────────┐    ┌───────────────┐    ┌──────────┐    ┌───────────┐
  │ Connect │───>│ validate_auth │───>│  Accept  │───>│ Notebook  │
  └─────────┘    └───────┬───────┘    └──────────┘    └───────────┘
                         │
                    ❌ Reject if
                    not authenticated

  /terminal/ws (Terminal WebSocket):
  ┌─────────┐    ┌───────────────┐    ┌──────────┐    ┌───────────┐
  │ Connect │───>│ Check mode &  │───>│  Accept  │───>│ PTY Shell │
  └─────────┘    │ platform only │    └──────────┘    └───────────┘
                 └───────────────┘
                 ⚠️ No auth check!
                 Anyone gets a shell!

यह **CWE-306: Missing Authentication for Critical Function** है। सर्वर पर सबसे खतरनाक एंडपॉइंट (जो एक इंटरैक्टिव शेल प्रदान करता है) पर कोई प्रमाणीकरण नहीं है।

### हमला: 3 मिनट में AWS कुंजियों तक पहुँच

शोषण की समयरेखा दिखाती है कि आधुनिक खतरे वाले अभिनेता कितनी तेज़ी से काम करते हैं:```
  ┌──────────────────────────────────────────────────────────────┐
  │                   CVE-2026-39987 Timeline                    │
  ├──────────────────────────────────────────────────────────────┤
  │                                                              │
  │  T+0h        Advisory published                              │
  │  ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─                       │
  │  T+9h        First exploit built from advisory               │
  │  T+10h       Exploitation in the wild confirmed              │
  │  ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─                       │
  │  T+10h 0m    Attacker connects to /terminal/ws               │
  │  T+10h 1m    Full PTY shell obtained                         │
  │  T+10h 2m    .env file located and read                      │
  │  T+10h 3m    AWS keys exfiltrated                            │
  │              Total attack time: ~3 minutes                   │
  └──────────────────────────────────────────────────────────────┘

कोई एक्सप्लॉइट डेवलपमेंट ज़रूरी नहीं। कोई शेलकोड नहीं। कोई मेमोरी करप्शन नहीं। बस एक WebSocket क्लाइंट और एक गायब auth जांच।

---

## प्रभाव विश्लेषण

**Marimo होस्ट पर तत्काल प्रभाव:**
- Marimo प्रोसेस के विशेषाधिकारों के साथ पूर्ण इंटरैक्टिव शेल
- प्रोसेस द्वारा पठनीय सभी फ़ाइलों तक पहुंच (सोर्स कोड, डेटा, क्रेडेंशियल)
- API कुंजियों और रहस्यों वाले पर्यावरण चरों तक पहुंच
- होस्ट सिस्टम पर मनमाने कमांड निष्पादित करने की क्षमता

**क्रेडेंशियल एक्सपोज़र (प्राथमिक हमले का लक्ष्य):**
- `.env` फ़ाइलों या पर्यावरण चरों से AWS एक्सेस कुंजियाँ और गुप्त कुंजियाँ
- GCP/Azure सेवा खाता क्रेडेंशियल
- पासवर्ड के साथ डेटाबेस कनेक्शन स्ट्रिंग्स
- OpenAI, Anthropic, और अन्य AI सेवा API कुंजियाँ
- SSH कुंजियाँ और अन्य प्रमाणीकरण सामग्री

**डाउनस्ट्रीम प्रभाव (चुराए गए क्रेडेंशियल के माध्यम से):**
- क्लाउड इंफ्रास्ट्रक्चर तक अनधिकृत पहुंच (EC2, S3, Lambda, आदि)
- क्लाउड स्टोरेज और डेटाबेस से डेटा एक्सफ़िल्ट्रेशन
- संसाधन दुरुपयोग (क्रिप्टोमाइनिंग, AI API क्रेडिट चोरी)
- क्लाउड और ऑन-प्रिमाइसेस नेटवर्क में पार्श्व गति

**जोखिम प्रवर्धन कारक:**
- नोटबुक वातावरण मनमाना कोड निष्पादित करने के लिए डिज़ाइन किए गए हैं (यही उनका उद्देश्य है)
- डेटा साइंस वातावरण में आमतौर पर प्रशिक्षण कार्यों के लिए व्यापक क्लाउड एक्सेस होता है
- कई Marimo इंस्टेंस सहयोग और दूरस्थ कार्य के लिए इंटरनेट पर उजागर होते हैं
- शोध/प्रयोग वातावरण में सुरक्षा सख्ती अक्सर एक बाद का विचार होती है

---

## प्रभावित संस्करण

| संस्करण | स्थिति |
|---------|--------|
| Marimo 0.23.0+ | **पैच किया गया** |
| Marimo 0.20.5 से 0.22.x | **संभावित रूप से कमजोर** (सलाहकार सीमा और फिक्स के बीच) |
| Marimo <= 0.20.4 | **कमजोर** (पुष्टि की गई सीमा) |

---

## बड़ी तस्वीर: AI/ML टूलचेन पर हमला

CVE-2026-39987 कोई अलग-थलग घटना नहीं है। यह एक स्पष्ट पैटर्न का हिस्सा है जो अप्रैल 2026 में उभरा:

| CVE | उत्पाद | प्रकार | स्थिति |
|:---|:---|:---|:---|
| **CVE-2026-39987** | Marimo | Pre-Auth RCE (WebSocket) | 10 घंटे में एक्सप्लॉइट किया गया |
| **CVE-2026-33017** | Langflow | RCE | CISA KEV (मार्च 26) |
| **CVE-2026-5059** | aws-mcp-server | Command Injection RCE | सार्वजनिक सलाहकार |
| **TorchGeo** | TorchGeo | eval() RCE | सार्वजनिक सलाहकार |

एक ही महीने में चार AI/ML डेवलपमेंट टूल गंभीर RCE कमजोरियों से प्रभावित हुए। AI/ML डेवलपमेंट पाइपलाइन नया शैडो IT बन रही है: व्यापक पहुंच, न्यूनतम सुरक्षा निगरानी, और समृद्ध क्रेडेंशियल स्टोर के साथ तैनात किए गए उपकरण।```
  ┌─────────────────────────────────────────────────┐
  │        Why AI/ML Tools Are Prime Targets        │
  ├─────────────────────────────────────────────────┤
  │                                                 │
  │  1. DESIGNED to execute arbitrary code          │
  │     (that's literally what notebooks do)        │
  │                                                 │
  │  2. Run with elevated privileges                │
  │     (GPU access, cloud SDKs, network access)    │
  │                                                 │
  │  3. Contain high-value credentials              │
  │     (AWS keys, API tokens, DB connections)      │
  │                                                 │
  │  4. Often exposed to the network                │
  │     (for collaboration and remote access)       │
  │                                                 │
  │  5. Security hardening is an afterthought       │
  │     (focus on features and UX, not security)    │
  │                                                 │
  │  6. Users are researchers, not security experts │
  │     (default configs, weak passwords, no VPN)   │
  └─────────────────────────────────────────────────┘

**विकल्प:**

| फ़्लैग | विवरण | डिफ़ॉल्ट |
|------|-------------|---------|
| `-t`, `--target` | एकल लक्ष्य URL (जैसे, `http://host:2718`) | — |
| `-f`, `--file` | लक्ष्य URL वाली फ़ाइल, प्रति पंक्ति एक (`#` टिप्पणियाँ समर्थित) | — |
| `-o`, `--output` | परिणाम JSON फ़ाइल में सहेजें | — |
| `--timeout` | कनेक्शन टाइमआउट सेकंड में | `10` |
| `--verify-ssl` | SSL प्रमाणपत्र सत्यापन सक्षम करें | अक्षम |
| `-v`, `--verbose` | पूर्ण विवरण के साथ विस्तृत आउटपुट | बंद |

**उदाहरण आउटपुट:**```
[*] CVE-2026-39987 Marimo Pre-Auth RCE Scanner
[*] Scanning 1 target(s)...
[*] NOTE: This scanner only checks for endpoint exposure.
[*]       No commands are executed on target systems.

======================================================================
Target: http://10.0.0.5:2718
Scan Time: 2026-04-14T16:00:00Z
Risk Level: CRITICAL
======================================================================
  Is Marimo:             YES
  Marimo Version:        0.19.2
  /terminal/ws Open:     YES — UNAUTHENTICATED
  Vulnerable:            YES

  *** CRITICAL: Pre-authenticated RCE is possible! ***
  *** An attacker can get a full PTY shell without any auth ***

  Details:
    - Marimo instance detected via /api/status
    - Marimo version: 0.19.2
    - WebSocket upgrade accepted — /terminal/ws accessible WITHOUT auth
    - CONFIRMED: /terminal/ws accepts unauthenticated connections while
      /ws requires auth — classic CVE-2026-39987 signature
    - Version 0.19.2 <= 0.20.4 — VULNERABLE to pre-auth RCE

======================================================================
[*] Scan Complete: 1 targets scanned
[*] Marimo Instances: 1 | Vulnerable: 1 | Critical: 1
======================================================================

**Nmap आउटपुट का उदाहरण:**```
PORT     STATE SERVICE
2718/tcp open  http
| CVE-2026-39987_Marimo_RCE:
|   VULNERABLE:
|   Marimo Pre-Auth RCE (CVE-2026-39987)
|     State: VULNERABLE
|     Risk level: CRITICAL
|     Marimo Version: 0.19.2
|     /terminal/ws: accessible without authentication
|     Description:
|       The Marimo /terminal/ws WebSocket endpoint accepts connections
|       without authentication, enabling pre-authenticated RCE.
|       An attacker can obtain a full PTY shell without any credentials.
|     References:
|_      https://nvd.nist.gov/vuln/detail/CVE-2026-39987

यदि `/terminal/ws` 101 लौटाता है जबकि `/ws` 401/403 लौटाता है, तो यह क्लासिक CVE-2026-39987 सिग्नेचर है।

---

## समझौते के संकेतक

अपने वातावरण में इन संकेतों पर नज़र रखें:

| संकेतक | कहाँ जाँचें | क्या देखें |
|:---|:---|:---|
| अनधिकृत WebSocket कनेक्शन | सर्वर/प्रॉक्सी लॉग | अप्रत्याशित IP से `/terminal/ws` पर कनेक्शन |
| PTY सत्र निर्माण | प्रोसेस मॉनिटरिंग | Marimo सर्वर द्वारा स्पॉन किए गए अप्रत्याशित शेल प्रोसेस |
| फ़ाइल एक्सेस | फ़ाइल ऑडिट लॉग | `.env`, क्रेडेंशियल फ़ाइलों, या SSH कुंजियों का पठन |
| क्रेडेंशियल उपयोग | क्लाउड प्रदाता ऑडिट लॉग | Marimo वातावरण में संग्रहीत कुंजियों का उपयोग करके API कॉल |
| आउटबाउंड डेटा ट्रांसफर | नेटवर्क मॉनिटरिंग | Marimo होस्ट से असामान्य ईग्रेस ट्रैफ़िक |

**जाँच कमांड:**```bash
# Check for active WebSocket connections
ss -tnp | grep <MARIMO_PORT>

# Review process tree for unexpected shells
ps aux --forest | grep -A5 marimo

# Check if .env or credential files were recently accessed
stat .env
stat ~/.aws/credentials

# Review cloud provider activity logs for unauthorized access
aws cloudtrail lookup-events --lookup-attributes AttributeKey=AccessKeyId,AttributeValue=<KEY_ID>

# Check for unauthorized outbound connections
netstat -tnp | grep ESTABLISHED | grep -v 127.0.0.1