AuthBackend ミドルウェアは HTTP と /ws WebSocket を保護しますが、 /terminal/ws は Cookie もトークンもなしに接続を受け入れ、marimo プロセスの 権限で PTY シェルを fork します。

悪用要件

• marimo が EDIT モード (marimo edit ...) で起動されていること。これはエディタのデフォルトモードです。
• pty サポートのあるプラットフォーム (Linux/macOS、Windows と Pyodide は影響を受けません)。
• ポートへのネットワークアクセス。認証情報は不要です。

攻撃シナリオ

ネットワーク経由で marimo edit サーバーに到達できる攻撃者 (リモート / コンテナ デプロイでよく見られ、しばしば root として実行される) は、認証なしで 対話型シェルを取得します: 認証情報の窃取 (cat .env)、横展開、 マルウェアの展開。公開後 10 時間以内に実際に悪用され、2026-04-23 に CISA の KEV カタログに追加されました。

PoC の使用方法

exploit.py はトークン、Cookie、Authorization ヘッダーを一切送信しません。ユーザーが ターミナルに入力するのとまったく同じように、コマンドを生テキスト + "\r" (Enter) として送信します。

ラボで得られた結果 (Kali、marimo 0.20.4)

• トークンなしのベースライン: HTTP -> 401 ; /ws -> 403 (認証は機能している)。
• トークンなしの /terminal/ws -> 受け入れられた。サーバー上で実行された: uid=1000() gid=1000() ... Linux ... そして /tmp/cve_2026_39987_proof.txt に書き込み -> RCE を確認。

修復

marimo >= 0.23.0 にアップグレードしてください。一時的な緩和策: marimo edit を 信頼できないネットワークに公開しないこと。エディタを認証済みプロキシの背後に置くこと。 シークレットを含まない非特権 / コンテナ内で実行すること。

免責事項

認可されたセキュリティテストおよび教育目的のみ。所有している、またはテストの 明示的な許可を得ているシステムに対してのみ実行してください。