Uma vulnerabilidade crítica na plataforma Marimo permite que atacantes acedam e controlem um servidor remoto sem necessidade de qualquer credencial. A falha, registada como CVE-2026-39987, começou a ser ativamente explorada em menos de dez horas após a sua divulgação pública, em abril de 2026, conforme detalha o Dark Web Informer.
O Marimo é uma ferramenta baseada em Python amplamente utilizada em projetos de ciência de dados e inteligência artificial. Estes cadernos virtuais combinam blocos de código com texto, gráficos e equações numa única página, operando a partir de um servidor web que facilita a edição no navegador. Como muitas destas instalações estão expostas na internet para trabalho colaborativo, os invasores conseguem frequentemente aceder a ficheiros sensíveis da mesma máquina, tais como credenciais de serviços, bases de dados e variáveis de ambiente com palavras-passe.
O problema na ligação do terminal
Para manter uma comunicação bidirecional em tempo real entre o utilizador e o servidor, o Marimo recorre a ligações WebSocket. Ao contrário dos pedidos web tradicionais, este sistema cria um canal permanente, semelhante à tecnologia que mantém um chat constantemente atualizado sem que a página precise de recarregar.
O problema central reside no facto de que, embora a maioria destes canais exigisse autenticação, o terminal integrado da plataforma — que fornece acesso direto à linha de comandos do servidor — estava completamente desprotegido.
Na prática, um atacante precisava apenas de enviar uma mensagem de abertura de ligação para o endereço dedicado ao terminal. O servidor alocava de imediato o acesso sem validar quem estava do outro lado. Em instalações típicas baseadas em Docker, isto traduzia-se em acesso root, garantindo os privilégios máximos do sistema sem qualquer necessidade de roubo de sessão ou ataques de phishing.
Exploração imediata e medidas de correção
A gravidade desta falha valeu-lhe uma pontuação de 9,3 em 10 no sistema CVSS v4.0, tendo sido adicionada ao catálogo de vulnerabilidades ativamente exploradas da CISA a 23 de abril de 2026. Especialistas da equipa Sysdig Threat Research identificaram a primeira tentativa de invasão apenas 9 horas e 41 minutos após o aviso de segurança, com as operações de roubo de credenciais a concretizarem-se em menos de três minutos.
Os investigadores detetaram que esta brecha está a ser usada para instalar uma variante do NKAbuse, um código malicioso que recorre a uma infraestrutura de controlo baseada em blockchain para dificultar o rastreio e o bloqueio do tráfego.
Para resolver este problema, é imperativo atualizar a plataforma para a versão 0.23.0 ou superior. Esta atualização alinha a autenticação do terminal com os restantes elementos do sistema. É também recomendado que os utilizadores evitem expor o modo de edição em redes não seguras e analisem os seus sistemas à procura de sinais de invasão caso tenham mantido versões desatualizadas, devendo tratar qualquer máquina não atualizada como potencialmente comprometida.
Nenhum comentário
Seja o primeiro!