Một lỗ hổng CVE nghiêm trọng đã được công bố trong Marimo, một nền tảng Python notebook mã nguồn mở, cho phép thực thi mã từ xa trước xác thực. Chỉ trong vòng chưa đầy 10 giờ sau khi công bố, các tác nhân đe dọa đã vũ khí hóa thành công lỗ hổng CVE này để đánh cắp thông tin xác thực đám mây nhạy cảm.
Chi tiết Kỹ thuật về Lỗ hổng CVE-2026-39987
Lỗ hổng CVE này được định danh chính thức là CVE-2026-39987 (trước đây là GHSA-2679-6mx9-h9xc). Nó được xếp hạng nghiêm trọng với điểm CVSS v4.0 là 9.3, thể hiện mức độ rủi ro rất cao. Đây là một lỗ hổng thực thi mã từ xa (Remote Code Execution – RCE) trước xác thực.
Cụ thể, lỗ hổng CVE ảnh hưởng đến endpoint WebSocket /terminal/ws của ứng dụng Marimo. Không giống như các endpoint WebSocket khác tuân thủ việc xác thực bằng cách gọi hàm validate_auth(), đường dẫn /terminal/ws bỏ qua hoàn toàn bước xác thực này.
Sự bỏ sót này cho phép bất kỳ kẻ tấn công nào không cần xác thực cũng có thể thiết lập một kết nối WebSocket duy nhất. Ngay lập tức, kẻ tấn công sẽ nhận được một pseudo-terminal (PTY) shell tương tác đầy đủ trên hệ thống. Thông tin chi tiết về lỗ hổng CVE có thể tham khảo tại NIST National Vulnerability Database.
Cơ chế Khai thác và Khả năng Chiếm quyền Điều khiển Hệ thống
Do shell được chạy với đặc quyền của tiến trình Marimo, kẻ tấn công có khả năng thực thi các lệnh hệ thống tùy ý. Điều này cho phép họ khám phá máy chủ nền mà không cần tạo ra các payload phức tạp. Khả năng remote code execution này mang lại quyền kiểm soát đáng kể.
Khi kẻ tấn công có được quyền truy cập vào PTY shell, họ có thể tương tác trực tiếp với hệ điều hành. Điều này tương đương với việc có một người dùng cục bộ thực hiện các lệnh. Việc này làm tăng nguy cơ chiếm quyền điều khiển hoàn toàn hệ thống. Mức độ nghiêm trọng của lỗ hổng CVE này đặc biệt cao vì nó không yêu cầu xác thực.
Các phiên bản Marimo bị ảnh hưởng bao gồm tất cả các phiên bản lên đến và bao gồm 0.20.4.
Tốc độ Khai thác Nhanh chóng và Kịch bản Tấn công Thực tế
Tại thời điểm cuộc tấn công diễn ra, chưa có mã khai thác (Proof-of-Concept – PoC) công khai nào. Kẻ tấn công đã tự xây dựng một exploit hoạt động hiệu quả trực tiếp từ các chi tiết kỹ thuật được cung cấp trong bản khuyến nghị bảo mật. Điều này nhấn mạnh khả năng của các tác nhân đe dọa trong việc nhanh chóng phân tích và vũ khí hóa các lỗ hổng CVE mới được công bố.
Theo đội ngũ Nghiên cứu Đe dọa Sysdig, nỗ lực khai thác đầu tiên xảy ra chỉ 9 giờ 41 phút sau khi bản khuyến nghị được công bố. Kẻ tấn công đã chứng minh khả năng phản ứng và thực thi tấn công cực kỳ nhanh chóng. Thông tin chi tiết về cuộc tấn công có thể được tìm thấy trên blog của Sysdig: Marimo OSS Python Notebook RCE: From Disclosure to Exploitation in Under 10 Hours.
Trong quá trình xâm nhập, kẻ tấn công đã thực hiện một script kiểm tra có cấu trúc trước khi chuyển sang giai đoạn trinh sát thủ công. Chỉ trong vòng ba phút sau khi có quyền truy cập, tác nhân đe dọa đã định vị thành công và đánh cắp file .env. File này chứa các khóa truy cập AWS và các bí mật ứng dụng quan trọng.
Chỉ số Thỏa hiệp (Indicators of Compromise – IOCs)
Chỉ số thỏa hiệp được xác định liên quan đến cuộc tấn công khai thác lỗ hổng CVE này bao gồm:
- Địa chỉ IP nguồn:
49.207.56[.]74
Địa chỉ IP này đã được xác định là nguồn gốc của các cuộc tấn công khai thác terminal WebSocket và đánh cắp thông tin xác thực.
Hành động Khuyến nghị và Cập nhật Bản vá
Sự cố này một lần nữa cho thấy các tác nhân đe dọa thường xuyên giám sát các bản khuyến nghị bảo mật để nhắm mục tiêu vào các phần mềm chuyên biệt. Để bảo vệ môi trường của mình khỏi các lỗ hổng CVE tương tự, các đội ngũ bảo mật nên thực hiện ngay các hành động sau:
- Cập nhật bản vá: Ngay lập tức áp dụng các bản vá hoặc phiên bản mới nhất của Marimo để khắc phục CVE-2026-39987. Đây là biện pháp cấp bách nhất để loại bỏ lỗ hổng CVE và ngăn chặn chiếm quyền điều khiển.
- Giám sát hệ thống: Tăng cường giám sát lưu lượng mạng và nhật ký hệ thống để phát hiện bất kỳ hoạt động đáng ngờ nào, đặc biệt là các kết nối đến endpoint
/terminal/ws. - Quản lý thông tin xác thực: Rà soát và bảo vệ chặt chẽ các file cấu hình chứa thông tin xác thực nhạy cảm (ví dụ:
.envfile, khóa API). Cân nhắc sử dụng các giải pháp quản lý bí mật chuyên nghiệp. - Phân đoạn mạng: Triển khai các chính sách phân đoạn mạng để hạn chế khả năng truy cập ngang (lateral movement) của kẻ tấn công ngay cả khi một hệ thống bị xâm nhập.
