Menschlicher Angreifer nutzt Marimo RCE für SSH-Zugang in acht Sekunden

Ein erfahrener menschlicher Angreifer nutzte die Marimo-RCE-Schwachstelle aus und erreichte in acht Sekunden einen SSH-Bastion-Host, wie The Hacker News unter Berufung auf neue Erkenntnisse des Cloud-Sicherheitsunternehmens Sysdig berichtet. Der Angreifer verwendete ein maßgeschneidertes Python-Toolkit, das von Hand geschrieben und debuggt wurde, ohne Beteiligung eines KI-Agenten, und die Geschwindigkeit erreicht das Niveau, das Forscher normalerweise KI-gestützten Angriffen zuschreiben.

Die Schwachstelle wird als CVE-2026-39987 mit einem CVSS-Schweregrad von 9,3 geführt. Sie betrifft alle Versionen von Marimo und wurde innerhalb von Stunden nach der öffentlichen Offenlegung aktiv ausgenutzt. Marimo ist eine Python-basierte Notebook-Anwendung; wenn sie dem Internet ausgesetzt ist, kann ihre Terminal-Schnittstelle einem entfernten Angreifer ermöglichen, Befehle auf dem zugrunde liegenden Server auszuführen. Der verwundbare Endpunkt war der WebSocket /terminal/ws, der eine Live-Terminal-Verbindung bereitstellt.

Das Threat Research Team von Sysdig beschrieb, wie der Angreifer über die Marimo-Schwachstelle eine voll interaktive Shell erhielt, dann einen AWS-Secrets-Manager-Aufruf mit den von der kompromittierten Instanz erbeuteten Anmeldeinformationen durchführte und schließlich einen abgerufenen privaten Schlüssel zur Authentifizierung an einem SSH-Bastion-Host verwendete. Das Team bemerkte, dass acht Sekunden die Art von Geschwindigkeit ist, die man bei KI-gestützten Angriffen erwartet, aber dieser Angreifer erreichte sie allein durch Können. Der Angreifer umging auch direkt eine Falle, in die jeder agentische Bedrohungsakteur getappt war, den Sysdig gegen dieselbe CVE analysiert hatte.

Die Sitzung begann um 12:52 Uhr mit einer WebSocket-Verbindung von der IP-Adresse 172.236.12[.]17. Um 18:57:22 wurde eine neue WebSocket-Verbindung beobachtet, um 18:57:26 lieferte eine Abfrage gegen die gespeicherten Anmeldeinformationen der Anwendung den erbeuteten AWS-Schlüssel zurück, und um 18:57:30 wurde eine SSH-Authentifizierung am Bastion-Host festgestellt. Die Aktivität endete um 21:50 Uhr, während der der Angreifer einen Listener-Aufbau im AsyncSSH-Stil gegen einen angreifereigenen virtuellen privaten Server einsetzte. Über die neunstündige Sitzung gab der Angreifer mehr als 850 interaktive Befehle ein, verwendete keine erkennbaren öffentlich verfügbaren offensiven Tools und schrieb Skripte in der Sitzung von Hand. Die endgültige Vorgehensweise konvergierte zu einem einzigen im Hintergrund laufenden Python3-Aufruf, der die Anmeldeinformationen abruft, den SSH-Schlüssel aus dem AWS Secrets Manager holt, ihn auf die Festplatte schreibt und sich in einem Zug per SSH am Bastion authentifiziert.

Für Website-Betreiber und IT-Teams zeigt der Marimo-Fall, dass Entwicklungstools und Notebook-Schnittstellen hochwertige Einstiegspunkte sind, nicht nur Produktions-Webserver. Offengelegte Terminal- oder WebSocket-Endpunkte können einem Angreifer sofortige Befehlsausführung ermöglichen, und gespeicherte Cloud-Anmeldeinformationen oder SSH-Schlüssel auf dieser Instanz können schnell zu einem Weg in die interne Infrastruktur werden. Die Beobachtung von Sysdig stellt auch die Annahme in Frage, dass nur KI-gestützte Angreifer sich mit Maschinengeschwindigkeit bewegen können: Ein erfahrener Mensch mit maßgeschneiderten, zweckgebauten Skripten kann genauso schnell sein und möglicherweise Erkennungen effektiver umgehen.

Separat veröffentlichte das Threat-Intelligence-Unternehmen Hunt.io Details zu einer Cryptomining-Kampagne, die 3.562 Redis-Server kompromittierte, wahrscheinlich nach einem breiten Internet-Scan nach Kandidaten-Redis-Hosts auf Port 6379. Die Kampagne startete drei parallele Pipelines. Eine WordPress-Zielerkennungs-Pipeline scannt eine Liste von HTTPS-Hosts nach WordPress-Version, installierten Plugins und ob XML-RPC oder Verzeichnisauflistungen offengelegt sind. Eine AOF-basierte SSH-authorized_keys-Injektions-Pipeline nutzt den Append-Only-Dateimodus von Redis, um SSH-Schlüssel in authorized_keys einzuschleusen. Eine Lua-Sandbox-Escape-Sondierungspipeline führt Redis-EVAL-Befehle und Sandbox-Escape-Versuche gegen drei Hosts aus: 47.250.92[.]230, 34.166.99[.]116 und 20.198.10[.]42. Die primäre Ausnutzungsmethode verwendet den SLAVEOF-Befehl, um angreiferkontrollierten Inhalt auf einen Ziel-Redis-Server zu schmuggeln, was zur Bereitstellung eines XMRig-Miners führt. Redis ist ein In-Memory-Datenspeicher, der oft als Datenbank oder Cache verwendet wird; SLAVEOF lässt einen Redis-Server Daten von einem anderen Server replizieren, und XMRig ist Kryptowährungs-Mining-Software, die Angreifer heimlich installieren, um die Rechenleistung des Opfers zu nutzen. AOF ist ein Persistenzmechanismus, der jede Schreiboperation protokolliert, sodass Daten nach einem Neustart wiedergegeben werden können, und Angreifer können ihn missbrauchen, um einen öffentlichen SSH-Schlüssel auf dem Server zu platzieren und sich dann anzumelden.

Bestätigte Opfer reichen von Redis 2.8.17 aus dem Jahr 2015 bis 7.2.0 aus dem Jahr 2023 und Linux-Systemen von End-of-Life RHEL/CentOS 6 bis zu aktuellen Ubuntu-Kernels, so Hunt.io. Diese große Bandbreite deutet auf fehlende Authentifizierung als Schwachstelle hin, nicht auf einen versionsspezifischen Fehler. Das Toolkit führte vier Techniken über drei Dienste aus, aber nur die Redis-Rogue-Replikation funktionierte im großen Maßstab: SSH-Schlüsselinjektion und MongoDB-Sandbox-Escape ergaben null bei 2.810 Versuchen, und eine vollständige WordPress-Kette von Anmeldeinformationen zu Webshell wurde wiederhergestellt, aber nicht im großen Maßstab bestätigt. Hunt.io bemerkte, dass der WordPress-Scanner der Redis-Kampagne tatsächlich eine vollständige Kette von Anmeldeinformationen zu Webshell wiederherstellte, was bedeutet, dass ein Angreifer gestohlene WordPress-Anmeldeinformationen verwenden könnte, um ein Skript auf einer Website zu platzieren, aber die Forscher bestätigten nicht, dass dies in freier Wildbahn im großen Maßstab ausgenutzt wurde.

In einer verwandten Entwicklung wurde ein einzelner Angreifer mit Operation CameraSwarm in Verbindung gebracht, einer Kampagne, die mehr als 14.000 Dahua-IP-Kameras mithilfe von Brute-Force-Angriffen, Authentifizierungsumgehungsfehlern mit den Bezeichnungen CVE-2021-33044 und CVE-2021-33045 sowie einer Peer-to-Peer-Relay-Technik kompromittierte. Brute-Force bedeutet, viele Benutzername-Passwort-Kombinationen auszuprobieren, bis eine funktioniert; ein Peer-to-Peer-Relay ermöglicht kompromittierten Geräten, direkt ohne zentralen Server zu kommunizieren. Kamera-Hacks können alltägliche Geräte in Teile eines Botnets oder ein Überwachungsrisiko verwandeln.

Für Organisationen, die WordPress-Seiten betreiben, ist die Scan-Phase der Redis-Kampagne eine Erinnerung, Plugins und Kernsoftware aktuell zu halten und ungenutzte Funktionen wie XML-RPC zu deaktivieren. AEU Hosting bietet verwaltetes WordPress-Hosting, das von Anfang bis Ende abgesichert ist und diese Updates und Zugriffskontrollen für Website-Betreiber übernehmen kann.

Sowohl die Erkenntnisse von Sysdig als auch von Hunt.io unterstreichen, dass ungepatchte oder nicht authentifizierte, dem Internet ausgesetzte Dienste – von Daten-Notebooks über Redis-Datenbanken bis hin zu IP-Kameras – zuverlässige Einstiegspunkte für Angreifer bleiben, unabhängig davon, ob sie KI einsetzen.