Un attaccante umano sfrutta l'RCE di Marimo per accedere via SSH in otto secondi

Un abile attaccante umano ha sfruttato la vulnerabilità RCE di Marimo e ha raggiunto un bastion host SSH in otto secondi, come riporta The Hacker News sulla base di nuove scoperte della società di sicurezza cloud Sysdig. L'attaccante ha utilizzato un toolkit Python personalizzato scritto e corretto manualmente, senza alcun agente AI coinvolto, e la velocità è paragonabile a quella che i ricercatori tipicamente associano agli attacchi assistiti dall'AI.

La falla è tracciata come CVE-2026-39987 con un punteggio di gravità CVSS di 9.3. Colpisce tutte le versioni di Marimo ed è stata attivamente sfruttata entro poche ore dalla divulgazione pubblica. Marimo è un'applicazione notebook basata su Python; quando esposta a Internet, la sua interfaccia terminale può consentire a un attaccante remoto di eseguire comandi sul server sottostante. L'endpoint vulnerabile era il WebSocket /terminal/ws, che fornisce una connessione terminale live.

Il Threat Research Team di Sysdig ha descritto come l'operatore abbia ottenuto una shell interattiva completa attraverso la falla di Marimo, poi abbia effettuato una chiamata ad AWS Secrets Manager utilizzando le credenziali raccolte dall'istanza compromessa, e infine abbia usato una chiave privata recuperata per autenticarsi a un bastion host SSH. Il team ha osservato che otto secondi è il tipo di velocità attesa negli attacchi assistiti dall'AI, ma questo operatore ci è arrivato solo con le proprie capacità. L'attaccante ha anche superato direttamente una trappola in cui erano caduti tutti gli attori di minaccia agentici profilati da Sysdig contro la stessa CVE.

La sessione è iniziata alle 12:52 con una connessione WebSocket dall'indirizzo IP 172.236.12[.]17. Alle 18:57:22 è stata osservata una nuova connessione WebSocket, alle 18:57:26 una ricerca contro la credenziale memorizzata dell'applicazione ha restituito la chiave AWS raccolta, e alle 18:57:30 è stata rilevata l'autenticazione SSH sul bastion host. L'attività è terminata alle 21:50, durante la quale l'attaccante ha distribuito un listener in stile asyncssh contro un server privato virtuale di proprietà dell'attaccante. Nel corso della sessione di nove ore l'operatore ha impartito più di 850 comandi interattivi, non ha utilizzato alcun strumento offensivo pubblico riconoscibile e ha scritto script a mano durante la sessione. L'arte finale è confluita in una singola invocazione Python3 in background che recupera la credenziale, preleva la chiave SSH da AWS Secrets Manager, la scrive su disco e si autentica al bastion via SSH in un colpo solo.

Per i proprietari di siti web e i team IT, il caso Marimo dimostra che gli strumenti di sviluppo e le interfacce notebook sono punti di ingresso di alto valore, non solo i server web di produzione. Endpoint terminale o WebSocket esposti possono dare a un attaccante l'esecuzione immediata di comandi, e le credenziali cloud o le chiavi SSH memorizzate su quell'istanza possono rapidamente diventare un percorso verso l'infrastruttura interna. L'osservazione di Sysdig sfida anche l'assunto che solo gli attaccanti assistiti dall'AI possano muoversi a velocità macchina: un umano esperto con script personalizzati e mirati può essere altrettanto veloce e può eludere le rilevazioni in modo più efficace.

Separatamente, la società di threat intelligence Hunt.io ha divulgato i dettagli di una campagna di cryptomining che ha compromesso 3.562 server Redis, probabilmente dopo una vasta scansione Internet di potenziali host Redis sulla porta 6379. La campagna ha lanciato tre pipeline parallele. Una pipeline di scoperta di target WordPress scansiona un elenco di host HTTPS per la versione di WordPress, i plugin installati e se XML-RPC o elenchi di directory sono esposti. Una pipeline di iniezione di authorized_keys SSH basata su AOF utilizza la modalità append-only file di Redis per eseguire l'iniezione di chiavi SSH authorized_keys. Una pipeline di sondaggio per l'evasione dalla sandbox Lua esegue comandi EVAL di Redis e tentativi di evasione dalla sandbox contro tre host: 47.250.92[.]230, 34.166.99[.]116 e 20.198.10[.]42. Il metodo di sfruttamento principale utilizza il comando SLAVEOF per introdurre contenuti controllati dall'attaccante su un server Redis di destinazione, con conseguente distribuzione di un miner XMRig. Redis è un archivio dati in memoria spesso usato come database o cache; SLAVEOF fa sì che un server Redis replichi i dati da un altro server, e XMRig è un software di mining di criptovalute che gli attaccanti installano segretamente per utilizzare la potenza di calcolo della vittima. AOF è un meccanismo di persistenza che registra ogni operazione di scrittura in modo che i dati possano essere riprodotti dopo un riavvio, e gli attaccanti possono abusarne per inserire una chiave pubblica SSH sul server e poi accedere.

Le vittime confermate spaziano da Redis 2.8.17 del 2015 fino a 7.2.0 del 2023 e sistemi Linux da RHEL/CentOS 6 a fine vita fino ai kernel Ubuntu attuali, secondo Hunt.io. Questa ampia gamma indica l'assenza di autenticazione come debolezza piuttosto che un bug specifico di una versione. Il toolkit ha eseguito quattro tecniche su tre servizi, ma solo la replica rogue di Redis ha funzionato su larga scala: l'iniezione di chiavi SSH e l'evasione dalla sandbox MongoDB hanno restituito zero su 2.810 tentativi, e una catena completa da credenziali WordPress a webshell è stata recuperata ma non confermata su larga scala. Hunt.io ha osservato che lo scanner WordPress della campagna Redis ha effettivamente recuperato una catena completa da credenziali a webshell, il che significa che un attaccante potrebbe usare credenziali WordPress rubate per inserire uno script su un sito web, ma i ricercatori non hanno confermato che sia stato sfruttato su larga scala nel mondo reale.

In uno sviluppo correlato, un singolo operatore è stato collegato all'Operazione CameraSwarm, una campagna che ha compromesso più di 14.000 telecamere IP Dahua utilizzando attacchi di forza bruta, falle di bypass dell'autenticazione tracciate come CVE-2021-33044 e CVE-2021-33045, e una tecnica di relay peer-to-peer. Forza bruta significa provare molte combinazioni di nome utente e password finché una funziona; un relay peer-to-peer consente ai dispositivi compromessi di comunicare direttamente senza un server centrale. Gli attacchi alle telecamere possono trasformare dispositivi di uso quotidiano in parti di una botnet o in un rischio di sorveglianza.

Per le organizzazioni che gestiscono siti WordPress, la fase di scansione della campagna Redis è un promemoria per mantenere aggiornati plugin e software principale e disabilitare funzionalità non utilizzate come XML-RPC. AEU Hosting offre hosting WordPress gestito e protetto end-to-end, che può gestire quegli aggiornamenti e controlli di accesso per i proprietari di siti.

Entrambe le scoperte di Sysdig e Hunt.io evidenziano che i servizi esposti a Internet non aggiornati o non autenticati, dai notebook di dati ai database Redis alle telecamere IP, rimangono punti di ingresso affidabili per gli attaccanti indipendentemente dall'uso dell'AI.