Die Sicherheitsforschungsteams der Cloud-Security-Firma Sysdig haben die Angriffe detailliert dokumentiert und dabei ein besorgniserregendes Muster offengelegt: Die Attacken beginnen mit systematischer Aufklärung, gefolgt von gezieltem Credential-Harvesting. Innerhalb von nur 12 Stunden nach der Disclosure wurden 125 IP-Adressen bei Aufklärungsaktivitäten beobachtet.
Die Schwachstelle im Detail
Die Lücke manifestiert sich im WebSocket-Endpoint ‘/terminal/ws’, der ein interaktives Terminal ohne angemessene Authentifizierungsprüfungen exponiert. Dies ermöglicht es jedem unauthentifizierten Client, sich zu verbinden und Code mit den Privilegien des Marimo-Prozesses auszuführen. Besonders gefährlich ist die Situation für Nutzer, die Marimo im Edit-Modus betreiben und über –host 0.0.0.0 exponieren — eine nicht ungewöhnliche Konfiguration in Entwicklungsumgebungen.
Angriffsmuster deuten auf erfahrene Operateure hin
Besonders interessant ist das Profil der Angreifer: Die Sysdig-Analyse zeigt keinen automatisierten Angriff, sondern einen “methodischen Operateur” mit manuellem Zugriff. Nach der Validierung der RCE-Fähigkeit durch Ausführung von pwd, whoami und ls-Befehlen konzentrierte sich der Angreifer sofort auf die Extraktion von .env-Dateien — ein klassischer Ort für Cloud-Credentials und Application-Secrets. SSH-Schlüssel wurden aktiv gesucht. Die gesamte Credential-Phase dauerte unter drei Minuten.
Bemerkenswert ist das Fehlen von Persistenzmechanismen, Cryptominern oder Backdoors. Dies deutet auf eine präzise, schnelle Operation hin, nicht auf einen Breitbandangriff.
Sofortmaßnahmen erforderlich
Marimo hat Version 0.23.0 veröffentlicht, die die Lücke behebt. Nutzer sollten sofort auf diese Version aktualisieren. Alternativ sollte der ‘/terminal/ws’-Endpoint vollständig blockiert werden. Zusätzliche Empfehlungen sind die Überwachung von WebSocket-Verbindungen, die Beschränkung des externen Zugriffs mittels Firewall und eine sofortige Rotation aller exponierten Secrets sowie Cloud-Credentials.
Für deutsche Organisationen, insbesondere Forschungseinrichtungen und Unternehmen, die Marimo in ihren Datenanalytik-Pipelines nutzen, ist eine unverzügliche Sicherheitsreaktion erforderlich. Die schnelle Exploitation zeigt, dass Cyberkriminelle hochwertige Ziele systematisch scannen und ausnutzen.