【安全资讯】Marimo开源Python笔记本平台曝高危漏洞，已遭野外利用

概要：

近日，Marimo开源反应式Python笔记本平台曝出一个高危预认证远程代码执行漏洞，编号为CVE-2026-39987。该漏洞在公开披露后仅10小时即被黑客利用，用于窃取敏感凭证。Marimo作为数据科学家、AI研究人员和开发者常用的工具，其安全性问题引发了广泛关注。

主要内容：

该漏洞源于Marimo平台（0.20.4及更早版本）的WebSocket终端端点‘/terminal/ws’暴露了一个交互式终端，但缺乏适当的身份验证检查。这使得任何未经身份验证的客户端都能直接连接并获得一个完整的交互式shell，其权限与Marimo进程本身相同。攻击者可借此在受影响的系统上执行任意命令。

根据云安全公司Sysdig的研究，在漏洞细节披露后的12小时内，已有125个IP地址开始进行侦察活动。披露不到10小时，研究人员就观测到首次利用尝试。攻击者首先连接到漏洞端点执行简短脚本以验证远程命令执行能力，随后进行手动侦察，并迅速转向凭证窃取。

攻击者主要目标是窃取高价值凭证，如.env文件中的环境变量（包含云凭证和应用程序密钥）以及SSH密钥。整个凭证窃取阶段在不到三分钟内完成。攻击手法显示出“有条不紊的操作者”特征，侧重于快速、隐秘的窃密行动，而非部署持久化后门或加密货币挖矿程序。

Marimo已于4月8日披露该漏洞，并发布了修复版本0.23.0。用户应立即升级，并监控对‘/terminal/ws’的WebSocket连接，通过防火墙限制外部访问，并轮换所有已暴露的密钥。若无法升级，可完全阻止或禁用对该端点的访问。