Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-306

CVE-2026-39987

marimo terminal WebSocket uç noktasında kimlik doğrulama eksikliği: uzaktan kod çalıştırma

marimo-team marimo

Kritik 9,3 CVSS 4.0
Yayımlandı
Güncellendi
24 Nis 2026
Açık yaşı
201 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 23 Nis 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 7 May 2026.

Yönetici özeti

Bu açık, herhangi bir giriş yapmadan sunucunun uzaktan tam kontrolünün ele geçirilmesine imkân tanıyor ve CISA tarafından aktif olarak istismar edildiği kaydedilmiş durumda. marimo kullanan sistemlerin vakit kaybetmeden güncellenmesi ve internete açık kopyaların kontrol edilmesi gerekir.

ÖzetTürkçe

marimo, reaktif bir Python not defteri uygulamasıdır. 0.23.0 öncesi sürümlerde /terminal/ws WebSocket uç noktası kimlik doğrulama denetimi yapmamaktadır. Diğer uç noktalar (örneğin /ws) validate_auth ile doğrulama yaparken, bu uç nokta yalnızca çalışma modunu ve platform desteğini kontrol eder. 0.23.0 öncesi tüm marimo sürümleri etkilenir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan ağ üzerinden tam bir PTY kabuğu elde ederek sunucuda istediği sistem komutlarını çalıştırabilir. Bu durum sistemin tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

marimo is a reactive Python notebook. Prior to 0.23.0, Marimo has a Pre-Auth RCE vulnerability. The terminal WebSocket endpoint /terminal/ws lacks authentication validation, allowing an unauthenticated attacker to obtain a full PTY shell and execute arbitrary system commands. Unlike other WebSocket endpoints (e.g., /ws) that correctly call validate_auth() for authentication, the /terminal/ws endpoint only checks the running mode and platform support before accepting connections, completely skipping authentication verification. This vulnerability is fixed in 0.23.0.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. marimo'yu satıcının düzeltme içeren 0.23.0 sürümüne veya daha yenisine güncelleyin. Üretici
  2. Güncelleme hemen yapılamıyorsa marimo sunucusunu internetten ve güvenilmeyen ağlardan erişilemeyecek şekilde kapatın ya da erişimi güvenlik duvarıyla kısıtlayın. Genel öneri
  3. CISA yönergesi: Satıcı talimatlarına göre azaltım önlemlerini uygulayın, bulut hizmetleri için geçerli BOD 22-01 rehberini izleyin; azaltım önlemleri mümkün değilse ürünün kullanımını durdurun. CISA
  4. Güncellemeden önce açıkta kalmış örnekleri olası ele geçirilme açısından inceleyin; beklenmedik süreçleri, kullanıcıları ve zamanlanmış görevleri kontrol edin. Genel öneri

Ek önlemler

  • marimo gibi geliştirme ve not defteri araçlarını doğrudan internete açmayın; VPN veya kimlik doğrulamalı ters proxy arkasında çalıştırın. Genel öneri
  • /terminal/ws yoluna yapılan yetkisiz WebSocket bağlantıları için erişim ve proxy günlüklerini izleyin. Genel öneri
  • marimo'yu en az yetkili kullanıcıyla çalıştırın ve sunucudaki gizli anahtarları ile kimlik bilgilerini sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
marimo-team marimo < 0.23.0 0.23.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.