Falha crítica no Marimo permite ataques remotos e já é explorada
Uma falha crítica no Marimo, plataforma open-source de notebooks Python, permitiu que hackers executassem códigos remotamente sem autenticação apenas dez horas após a divulgação pública do problema. O Marimo é amplamente utilizado por cientistas de dados, profissionais de IA e desenvolvedores para criação de dashboards e aplicativos de dados, contando com cerca de 20 mil estrelas no GitHub.
A vulnerabilidade, identificada como CVE-2026-39987, está relacionada ao endpoint WebSocket ‘/terminal/ws’, que expunha um terminal interativo sem exigir autenticação, possibilitando o acesso irrestrito ao shell do sistema com os mesmos privilégios do processo Marimo. Segundo pesquisadores da Sysdig, os primeiros ataques foram registrados menos de dez horas após a divulgação do alerta, com 125 endereços IP realizando atividades de reconhecimento em apenas 12 horas.
Durante os ataques, os invasores validaram a falha conectando-se ao endpoint vulnerável, executando comandos para mapear o ambiente e, em seguida, focaram na extração de credenciais sensíveis, como variáveis de ambiente e chaves SSH. Todo o processo de acesso e roubo de credenciais foi realizado em menos de três minutos, sem tentativas de instalar backdoors ou mineradores, indicando uma operação rápida e direcionada.
Para mitigar o risco, os desenvolvedores do Marimo lançaram a versão 0.23.0, corrigindo a vulnerabilidade. Usuários são orientados a atualizar imediatamente, monitorar conexões ao endpoint afetado, restringir o acesso externo via firewall e substituir todas as credenciais expostas. Caso a atualização não seja possível, recomenda-se bloquear completamente o acesso ao ‘/terminal/ws’. O episódio ressalta a importância de respostas rápidas a falhas em projetos de código aberto amplamente utilizados em ambientes de dados e ciência.
Fonte original: www.bleepingcomputer.com
Acessar publicação original
Resumo editorial criado automaticamente pela Eletrônica Americana com base em fontes internacionais públicas, com finalidade informativa.
Além de se manter informado, você pode aprofundar seus conhecimentos em nossos guias de compra, onde comparamos as melhores opções do mercado para facilitar sua escolha. Para uma análise técnica, confira nossas reviews completas com testes reais de desempenho. E se você está em busca do melhor preço, não deixe de acompanhar nossa seleção de ofertas e descontos atualizados diariamente nas principais lojas.
