CVE-2026-39987-PoC

Aviso Legal Este script é APENAS para fins educacionais e de testes autorizados. O uso não autorizado desta ferramenta contra sistemas sem permissão explícita é ILEGAL. O autor não é responsável por qualquer uso indevido destas informações.

Versões do Marimo anteriores a 0.23.0 possuem uma vulnerabilidade crítica de execução remota de comandos (RCE) sem autenticação prévia. O endpoint /terminal/wsdoes não implementa controles de acesso adequados, permitindo que um atacante não autenticado obtenha acesso interativo completo ao shell do sistema.

Identificação

Shodan Dork

http.favicon.hash:-1864630356

Censys Dork

services.http.response.favicons.hashes: -1864630356

Impressão Digital

• Hash do favicon: -1864630356
• Versão do endpoint: /api/version

Instalação

Requer Python 3.10+. As dependências são gerenciadas com uv, da Astral.

# install uv (skip if already installed)
curl -LsSf https://astral.sh/uv/install.sh | sh

uv venv
uv pip install -r requirements.txt

Uso

uv run poc.py -t <target_url>

• -t, --target_url (obrigatório): URI WebSocket do endpoint /terminal/ws do alvo.

uv run poc.py -t wss://<target-host>/terminal/ws

Uma vez conectado, você obtém uma sessão pty interativa. Comandos extras disponíveis localmente (nunca enviados ao shell remoto como digitados):

Pressione Ctrl+C para interromper/sair.

Mitigação

• Correção: Atualize o Marimo para >= 0.23.0, que corrige a ausência de controle de acesso em /terminal/ws.
• Restrinja a exposição de rede: Não exponha o servidor de terminal/edição do Marimo diretamente à internet. Vincule-o a localhost ou a uma interface interna e coloque-o atrás de uma VPN/bastion para acesso remoto.
• Adicione autenticação: Se não for possível atualizar imediatamente, coloque o serviço atrás de um proxy reverso que exija autenticação (ex.: proxy OAuth2, mTLS) em frente a /terminal/ws e outras rotas de API.
• Segmentação de rede: Utilize firewall na porta para que somente IPs/faixas de VPN confiáveis possam alcançá-la.
• Detecção: Monitore conexões WebSocket inesperadas para /terminal/ws e atividades de shell não autenticadas nos logs do servidor; os dorks do Shodan/Censys acima também podem ser usados de forma defensiva para encontrar suas próprias instâncias expostas e sem correção.

Referências:

• https://nvd.nist.gov/vuln/detail/CVE-2026-39987
• https://lyrie.ai/research/research/cve-2026-39987-marimo-pre-auth-rce-root-in-one-request