⚠️ CVE-2026-39987 — Shell sem autenticação no marimo (< 0.23.0)

Uma ferramenta de notebook reativo em Python deu a atacantes um shell completo em uma única requisição WebSocket.

📌 Visão Geral

CVE-2026-39987 é uma vulnerabilidade crítica de RCE sem autenticação no marimo — um notebook reativo open-source popular para Python (alternativa moderna ao Jupyter).

• Versões afetadas: Todas as versões < 0.23.0 (confirmado oficialmente)
• Pontuação CVSS: 9.3 (Crítico)
• Tipo: Autenticação ausente no endpoint WebSocket /terminal/ws
• Impacto: Atacantes não autenticados podiam abrir um shell PTY interativo completo e executar comandos arbitrários no servidor.

A exploração foi observada na prática em ~10 horas após a divulgação pública — nenhum código de exploit público foi necessário.

🛠️ Detalhes Técnicos

O endpoint /terminal/ws apenas verificava o modo de execução e o suporte da plataforma.
Diferente de outros endpoints (ex.: /ws), ele ignorava validate_auth() por completo.

Isso permitia que qualquer usuário não autenticado que conseguisse alcançar o servidor marimo pudesse:

• Abrir um shell de terminal completo
• Explorar o sistema de arquivos
• Roubar credenciais
• Executar comandos arbitrários do sistema

📷 Captura de Tela

✅ Corrigido Em

marimo 0.23.0 (lançado em abril de 2026)

Correção: Validação de autenticação adequada foi adicionada ao endpoint WebSocket do terminal.

pip install --upgrade "marimo>=0.23.0"

Aviso Oficial:
GHSA-2679-6mx9-h9xc

Commit do Patch:
marimo-team/marimo@c24d480

🚨 Recomendações

• Atualize imediatamente para marimo ≥ 0.23.0
• Ative autenticação forte ao executar o marimo
• Evite expor o marimo diretamente à internet, a menos que seja necessário
• Use segmentação de rede, proxies reversos com autenticação ou isolamento de contêineres
• Verifique seus ambientes com ferramentas como pip-audit, Dependabot ou OSV

📊 Linha do Tempo

• Divulgação: 9 de abril de 2026
• Primeira exploração: ~9–10 horas após a divulgação
• Correção lançada: abril de 2026 (v0.23.0)

🔗 Referências

• NVD - CVE-2026-39987
• Aviso de Segurança do marimo no GitHub
• Cobertura do The Hacker News
• Pesquisa de Ameaças da Sysdig