SecBoard
Zurück zur CVE-Übersicht

CVE-2026-39987

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score84/100 — KRITISCH
  • CVSS 9.8 — Kritisch
  • EPSS 97% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

97.3%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-39987 betrifft Marimo, ein reaktives Python-Notebook, und stellt eine Pre-Auth ()-Schwachstelle dar. Ein nicht authentifizierter Angreifer kann über den WebSocket-Endpunkt /terminal/ws eine vollständige PTY-Shell erlangen und beliebige Systembefehle ausführen. Die Schwachstelle resultiert aus einer fehlenden Authentifizierungsprüfung an diesem spezifischen Endpunkt, während andere Endpunkte korrekt validiert werden.

Diese Schwachstelle ist als kritisch einzustufen, mit einem CVSS-Score von 9.8 und einer hohen EPSS-Wahrscheinlichkeit von 97%. Besonders besorgniserregend ist, dass sie in der KEV-Datenbank gelistet ist und aktiv ausgenutzt wird. Dies deutet auf ein hohes und unmittelbares Risiko hin.

Security-Teams sollten umgehend alle Marimo-Installationen auf Version 0.23.0 oder höher aktualisieren, um diese Schwachstelle zu beheben. Aufgrund der aktiven Ausnutzung und der Kritikalität ist dies eine Top-Priorität. Zusätzlich sollten Systeme auf Anzeichen einer Kompromittierung überwacht werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

marimo is a reactive Python notebook. Prior to 0.23.0, Marimo has a Pre-Auth RCE vulnerability. The terminal WebSocket endpoint /terminal/ws lacks authentication validation, allowing an unauthenticated attacker to obtain a full PTY shell and execute arbitrary system commands. Unlike other WebSocket endpoints (e.g., /ws) that correctly call validate_auth() for authentication, the /terminal/ws endpoint only checks the running mode and platform support before accepting connections, completely skipping authentication verification. This vulnerability is fixed in 0.23.0.

In diesen Analysen erwähnt

Wochenlage KW27: KI-bezogene Exploits und Zero-Days dominieren das LagebildSecBoard

Referenzen