Penjelasan teknis
Marimo <0.23.0 mengekspos endpoint WebSocket terminal tanpa autentikasi, memungkinkan eksekusi kode jarak jauh tanpa autentikasi pada host yang menjalankan notebook — umum dalam alur kerja pengembangan AI/ML.
Vektor serangan
Jaringan, kompleksitas rendah. Penyerang terhubung ke WebSocket yang terekspos dan mengirimkan perintah shell.
Sistem yang terdampak
Marimo <0.23.0 dengan endpoint WebSocket yang dapat diakses melalui jaringan.
Mitigasi
Upgrade ke 0.23.0+. Batasi akses WebSocket; segmentasi lingkungan pengembangan; pantau koneksi WebSocket yang anomali.