ある脅威アクターが、marimoに存在する認証前リモートコード実行(RCE)の脆弱性を悪用し、AWS認証情報を収集したうえでAWS Secrets ManagerからSSH秘密鍵を取得し、わずか8秒で踏み台ホストへの認証を完了させていたことが分かりました。
CVE-2026-39987として追跡されているこの脆弱性は、marimoのバージョン0.20.4以前に影響します。原因は/terminal/wsにおける認証の欠如で、接続可能なリモートクライアントに対話型のPTYシェルが公開された状態になっていました。
marimoバージョン0.23.0では、欠落していた認証検証を追加することでこの問題を修正しています。Sysdigの観測によると、攻撃者はこのアクセス権を利用して、9時間に及ぶ侵入の中でエンドツーエンドのクラウド横断攻撃を実行していました。
攻撃者はまずWebSocketセッションを開始し、侵害したノートブック環境とそのRedisベースのアプリケーションデータからAWS認証情報を回収しました。続けてSecrets Managerを呼び出し、秘密鍵を/tmp/bastion_keyに書き出したうえで、これを使ってインターネットに公開された踏み台ホストへアクセスしています。
協定世界時(UTC)18:57:22にWebSocketセッションが開始され、その4秒後、攻撃者はアプリケーションに保存されていたAWSキーの回収に成功しました。そして18:57:30には、踏み台ホストへのSSH認証が記録されています。
この圧縮された時系列は、事前に用意されたツールキットがあれば、ノートブックの侵害をいかに素早くより深いクラウドアクセスへとつなげられるかを示しています。
同じ脆弱性を悪用していたこれまでの攻撃者とは異なり、今回のアクターはLLMが生成したツールではなく、手作業で構築した自動化スクリプトに依存していたとみられます。
攻撃者は数時間にわたり、base64エンコードされたPythonスクリプトを/tmp/に次々と投下し、boto3およびSSH関連の処理を繰り返し改良していきました。
これらのスクリプトは、AWSリージョンのフォールバック処理、Secrets Managerへのクエリ、JSON解析、Paramikoによる鍵種別の検出といった機能を備えていました。base64エンコードを用いることで、bashの履歴に複数行のソースコードがそのまま残るのを避ける狙いもあったとみられます。
攻撃者はまた、EC2 Instance Connect経由の別ルートも試みていました。DescribeInstances、DescribeKeyPairs、DescribeInstanceInformationの各リクエストが拒否された後、自動化スクリプトはプレースホルダーのインスタンスIDi-0000000000000000に対してec2:SendSSHPublicKeyの実行を試みています。
この失敗した試みは、先行する拒否済みの列挙活動と組み合わせることで、防御側にとって信頼性の高い振る舞いベースのシグナルとなります。
観測されたインフラには、WebSocket通信に使用された172.236.12.17と、TCPポート4444でのコールバック用リスナーとして使用された45.79.187.72が含まれます。いずれのIPアドレスも、AS63949(Akamai Connected Cloud/Linode)に紐づいていました。
その他の痕跡としては、/tmp/chain.py、/tmp/full_chain.py、/tmp/bastion_key、nohupによるPython実行、base64デコードされたスクリプトなどが確認されています。
防御側は、marimoを0.23.0以降にアップグレードするとともに、/terminal/wsの手前に認証制御を設置するか、インターネットに公開されたノートブックではターミナル機能自体を無効化すべきです。
組織としては、ノートブック環境からクラウド認証情報を排除し、Secrets Managerへのアクセス権限を厳格に絞り込み、コンテナの外向き通信を制限したうえで、到達可能なインスタンス上で漏えいした認証情報をローテーションする必要があります。
検知にあたっては、コマンドの構文そのものよりも攻撃チェーン全体を重視すべきです。すなわち、環境変数や.envファイルへのアクセス、通常とは異なるSecrets Managerへのリクエスト、複数リージョンにまたがる再試行、そしてそれに続く非標準ポートへの外向き接続やSSH活動といった一連の流れに着目することが重要です。今回の事例は、熟練した攻撃者であればAIの力を借りずとも、マシン並みの速度で侵害後の活動を実行できることを示しています。
16,000以上の組織から得られた最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCへ
翻訳元: https://cyberpress.org/marimo-rce-flaw-lets-hackers-steal-aws-credentials-and-pivot/
