CVE-2026-39987 Marimo, एक रिएक्टिव पायथन नोटबुक वातावरण, को प्रभावित करने वाली एक क्रिटिकल प्री-ऑथेंटिकेशन रिमोट कोड निष्पादन (RCE) भेद्यता है। यह भेद्यता टर्मिनल WebSocket एंडपॉइंट /terminal/ws में स्थित है।

🔍 मूल कारण

कमजोर टर्मिनल एंडपॉइंट WebSocket कनेक्शन स्वीकार करने के बाद एक इंटरैक्टिव PTY बनाता है।

अवधारणात्मक रूप से, कमजोर अनुरोध प्रवाह इस प्रकार है:

महत्वपूर्ण सुरक्षा सीमा प्रमाणीकरण जांच का अभाव है।

मनमाना कमांड निष्पादन उजागर करने वाला एंडपॉइंट किसी अनप्रमाणित क्लाइंट को PTY निर्माण तर्क तक पहुंचने की अनुमति नहीं देनी चाहिए।

🎯 उद्देश्य और दायरा

प्राथमिक उद्देश्य

इस परियोजना का उद्देश्य नियंत्रित वातावरण में, Marimo के टर्मिनल WebSocket एंडपॉइंट को प्रभावित करने वाले प्रमाणीकरण प्रवर्तन के अभाव को प्रदर्शित करना है।

सुरक्षा टीमें इस परियोजना का उपयोग कर सकती हैं:

• अपने Marimo इंस्टेंस के जोखिम को मान्य करने के लिए
• सुरक्षा पैच की प्रभावशीलता को सत्यापित करने के लिए
• संभावित सुरक्षा प्रभाव का दस्तावेजीकरण करने के लिए
• रक्षात्मक नियंत्रणों में सुधार करने के लिए
• अधिकृत भेद्यता सत्यापन का समर्थन करने के लिए

अधिकृत वातावरण

• परीक्षक के स्वामित्व वाली सुरक्षा प्रयोगशालाएँ
• स्पष्ट लिखित प्राधिकरण वाले सिस्टम
• प्रशिक्षण और शैक्षिक वातावरण
• अधिकृत पैठ परीक्षण और सुरक्षा मूल्यांकन

चेतावनी: PoC केवल उन सिस्टमों के विरुद्ध चलाएं जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपको स्पष्ट रूप से अधिकृत किया गया है।

🔗 शोषण श्रृंखला

पूर्ण भेद्यता श्रृंखला को इस प्रकार संक्षेपित किया जा सकता है:

महत्वपूर्ण सुरक्षा विफलता चरण 3 पर होती है।

📦 स्थापना

आवश्यकताएँ

निर्भरताएँ

सत्यापन

🚀 उपयोग मार्गदर्शिका

मूल सिंटैक्स

व्यावहारिक उदाहरण

1. स्थानीय प्रयोगशाला परीक्षण

2. अधिकृत रिमोट परीक्षण

3. डीबग मोड

📋 पैरामीटर संदर्भ

🔄 शोषण कार्यप्रवाह

🧪 सत्यापन परीक्षण

परीक्षण परिदृश्य

कमजोर इंस्टेंस

अपेक्षित परिणाम: कमजोर टर्मिनल एंडपॉइंट अनप्रमाणित कनेक्शन स्वीकार करता है।

पैच किया गया इंस्टेंस

अपेक्षित परिणाम: कनेक्शन प्रमाणीकरण नियंत्रणों द्वारा अस्वीकार या अन्यथा रोका जाता है।

टाइमआउट परीक्षण

अपेक्षित परिणाम: टाइमआउट स्पष्ट रूप से रिपोर्ट किया जाता है।

📈 भेद्यता आँकड़े

स्रोत README इस मुद्दे को CVSS 9.3 क्रिटिकल के रूप में वर्गीकृत करता है और CWE-306, प्रोटोकॉल के रूप में WebSocket, और प्रभावित एंडपॉइंट के रूप में /terminal/ws की पहचान करता है।

🔎 पहचान

शोषण के संभावित संकेतकों में निम्नलिखित के लिए अप्रत्याशित WebSocket कनेक्शन शामिल हैं:

रक्षकों को जांच करनी चाहिए:

• टर्मिनल WebSocket एंडपॉइंट से अप्रत्याशित कनेक्शन
• Marimo द्वारा उत्पन्न अप्रत्याशित शेल प्रक्रियाएँ
• संदिग्ध चाइल्ड प्रक्रियाएँ
• अप्रत्याशित आउटबाउंड कनेक्शन
• संवेदनशील पर्यावरण चरों तक पहुंच
• अप्रत्याशित फाइलसिस्टम गतिविधि
• Marimo प्रक्रिया द्वारा निष्पादित अज्ञात कमांड

🛡️ उपचार

Marimo को स्थिर रिलीज़ में अपग्रेड करें:

अतिरिक्त रक्षात्मक अनुशंसाओं में शामिल हैं:

• जब तक आवश्यक न हो, Marimo को सीधे सार्वजनिक इंटरनेट पर उजागर न करें।
• नोटबुक सेवाओं को प्रमाणित रिवर्स प्रॉक्सी के पीछे रखें।
• नेटवर्क पहुंच को विश्वसनीय उपयोगकर्ताओं और नेटवर्क तक सीमित करें।
• Marimo को न्यूनतम आवश्यक विशेषाधिकारों के साथ चलाएं।
• संवेदनशील होस्ट निर्देशिकाओं को कंटेनरों में माउंट करने से बचें।
• उन क्रेडेंशियल्स को घुमाएं जो समझौता किए गए इंस्टेंस के लिए सुलभ रहे हों।
• संदिग्ध /terminal/ws गतिविधि के लिए लॉग की समीक्षा करें।
• यह मानने के बजाय संभावित रूप से समझौता किए गए इंस्टेंस की जांच करें कि केवल पैचिंग से हमलावर की दृढ़ता समाप्त हो जाती है।

🔐 सुरक्षा वर्गीकरण

📄 लाइसेंस

केवल अधिकृत उपयोग

यह परियोजना विशेष रूप से निम्नलिखित के लिए प्रदान की गई है:

• अधिकृत सुरक्षा परीक्षण
• शैक्षणिक अनुसंधान
• भेद्यता सत्यापन
• सुरक्षा प्रशिक्षण
• रक्षात्मक सुरक्षा विकास

अनधिकृत उपयोग सख्त वर्जित है और यह लागू स्थानीय और अंतर्राष्ट्रीय कानूनों का उल्लंघन कर सकता है।

⚠️ अस्वीकरण

यह परियोजना सुरक्षा अनुसंधान, भेद्यता सत्यापन और शैक्षिक उद्देश्यों के लिए प्रदान की गई है।

PoC का उपयोग उन सिस्टमों के विरुद्ध न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट प्राधिकरण नहीं है।

अनुरक्षक दुरुपयोग, अनधिकृत परीक्षण, क्षति, डेटा हानि, या इस परियोजना के उपयोग से उत्पन्न किसी भी परिणाम के लिए जिम्मेदार नहीं हैं।