Kritische RCE-Lücke in Marimo wird zehn Stunden nach Offenlegung aktiv ausgenutzt

Marimo legte die Schwachstelle am 8. April offen und veröffentlichte tags darauf Version 0.23.0 zur Behebung. Betroffen sind nach Angaben der Entwickler Nutzer, die Marimo als bearbeitbares Notebook bereitgestellt haben, sowie jene, die Marimo im Bearbeitungsmodus über die Option –host 0.0.0.0 in einem gemeinsam genutzten Netzwerk zugänglich machen.

Innerhalb der ersten zwölf Stunden nach Veröffentlichung der Details begannen laut Sysdig 125 IP-Adressen mit Erkundungsaktivitäten. Weniger als zehn Stunden nach der Offenlegung beobachteten die Forscher den ersten Ausnutzungsversuch – im Rahmen eines Diebstahls von Zugangsdaten.

Der Angreifer prüfte die Lücke zunächst, indem er sich mit dem Endpunkt /terminal/ws verband und eine kurze Skriptsequenz ausführte, um die Remote-Befehlsausführung zu bestätigen; anschließend trennte er die Verbindung binnen Sekunden. Kurz darauf verband er sich erneut und begann mit manueller Erkundung: Mit einfachen Befehlen wie pwd, whoami und ls erkundete er die Umgebung, gefolgt von Versuchen, durch Verzeichnisse zu navigieren, und der Suche nach SSH-bezogenen Speicherorten.

Danach konzentrierte sich der Angreifer auf das Sammeln von Zugangsdaten: Er nahm sofort die Datei .env ins Visier und las Umgebungsvariablen aus, darunter Cloud-Zugangsdaten und Anwendungsgeheimnisse. Anschließend versuchte er, weitere Dateien im Arbeitsverzeichnis zu lesen, und suchte weiter nach SSH-Schlüsseln. Die gesamte Phase des Zugriffs auf Zugangsdaten war laut einem aktuellen Sysdig-Bericht in weniger als drei Minuten abgeschlossen. Etwa eine Stunde später kehrte der Angreifer für eine zweite Sitzung mit derselben Exploit-Sequenz zurück.

Hinter dem Angriff steht nach Einschätzung der Forscher ein „methodisch vorgehender Akteur" mit praktischem Vorgehen statt automatisierter Skripte, der sich auf hochwertige Ziele wie den Diebstahl von .env-Zugangsdaten und SSH-Schlüsseln konzentriert. Die Angreifer versuchten weder, Persistenz einzurichten, noch Cryptominer oder Backdoors zu installieren – ein Hinweis auf eine schnelle, unauffällige Operation.

Marimo-Nutzern wird empfohlen, umgehend auf Version 0.23.0 zu aktualisieren, WebSocket-Verbindungen zu „/terminal/ws" zu überwachen, externen Zugriff per Firewall einzuschränken und alle exponierten Geheimnisse zu rotieren. Ist ein Update nicht möglich, besteht eine wirksame Gegenmaßnahme darin, den Zugriff auf den Endpunkt „/terminal/ws" vollständig zu blockieren oder zu deaktivieren.