Marimo hat eine hoch eingestufte Sicherheitslücke in seiner Notebook-Software behoben. Hintergrund: Unter bestimmten Bedingungen konnte ein Angreifer beim Öffnen eines speziell präparierten Notebooks in Edit-Modus einen schädlichen Model Context Protocol (MCP)-Befehl ausführen. Die Schwachstelle wird als CVE-2026-75149 geführt und betrifft Versionen vor 0.23.15.
Was das für Nutzer bedeutet: Wenn Sie eine betroffene Version verwenden, sollten Sie zeitnah auf eine nicht betroffene Release-Fassung aktualisieren. In der folgenden Übersicht erklären wir verständlich, wie die Marimo-Notebook Schwachstelle funktioniert, welche Versionen betroffen sind und welche Schutzmaßnahmen sich anbieten.
Worum geht es bei der Marimo-Notebook Schwachstelle?
Laut dem Eintrag der CVE Numbering Authority konnte ein Angreifer einen MCP-Kommandostring in einem präparierten Notebook so platzieren, dass er beim Öffnen des Dokuments ausgeführt wird. Entscheidend ist dabei der Modus: Im Edit-Modus startet das System den angegebenen Befehl als lokalen Subprozess, und zwar bevor überhaupt Notebook-Zellen ausgeführt werden.
Damit handelt es sich um eine Form von Code-Injection (Codeeinschleusung). Die Schwachstelle erfordert dabei Benutzerinteraktion, benötigt aber keine spezielle Authentifizierung durch den Angreifer. Die vergebenen Bewertungen liegen je nach Version des Scoring-Systems im sehr kritischen Bereich: CVSS v4: 8.7 und CVSS v3.1: 8.8.
Betroffene Versionen und veröffentlichter Fix
Der Patch ist in Marimo Version 0.23.15 enthalten. Die CVE wurde am 19. August veröffentlicht. Nutzer, die eine betroffene Fassung betreiben, sollten laut Empfehlung in einen Bereich außerhalb der anfälligen Versionen wechseln.
Ein weiterer praxisnaher Hinweis: Bei OSV/CVE-Import wird beschrieben, dass ein präpariertes Notebook Konfigurationen liefern kann, mit denen ein Angreifer einen MCP-Server-Befehl kontrollieren kann. Konkret wird ein Angreifer-Serverkommando über Notebook-Konfiguration eingebracht, während das Notebook vom Opfer im Edit-Modus geöffnet wird.
Wie spielt MCP hier zusammen?
MCP (Model Context Protocol) ist dafür gedacht, dass Tools und Modellkomponenten über definierte Schnittstellen zusammenarbeiten. In diesem Fall geht es nicht um die generelle Existenz von MCP, sondern um eine Konfigurationsgrenze in Marimo-Notebooks: Bestimmte Inhalte, die aus dem Notebook selbst stammen, werden als steuernd für die Verarbeitung behandelt.
Im angreifbaren Szenario kann ein Notebook so präpariert sein, dass es dem System eine MCP-bezogene Konfiguration liefert, aus der wiederum ein Ausführungsbefehl als Subprozess entsteht. Wichtig: Das geschieht zeitlich vor der Ausführung regulärer Notebook-Zellen.
Was hat Marimo zur Abwehr geändert?
Marimo beschreibt eine Härtungsmaßnahme: Die Schutzlogik behandelt Notebook-Metadaten als angreifersteuerbar. Dazu gehört, dass Konfigurationen, die im Notebook enthalten sind, nicht einfach ungeprüft weitergereicht werden. Stattdessen werden sie über eine Allowlist gefiltert.
Im Zuge dieses Patches werden bestimmte Notebook-konfigurationsbezogene Sektionen entfernt. Genannt werden:
- ai
- mcp
- completion
- secrets
- server
Die MCP-Regressionsprüfung, die Marimo für den Patch nennt, nutzt dabei eine durch einen Angreifer kontrollierte URL und prüft, dass die mcp-Sektion tatsächlich entfernt wird. Zusätzlich wird das separate, für CVE-2026-75149 beschriebene Verhalten getestet: Dass der unerwünschte Pfad zum Start eines lokalen Subprozess-Kommandos unterbunden ist.
Warum ist das relevant, selbst wenn keine Zellen laufen?
Für viele Nutzer ist ein Notebook vor allem wegen der Ausführung von Zellen ein Sicherheitsrisiko. In diesem Fall ist jedoch das Problem ein anderes: Der gefährliche Prozessstart passiert schon beim Öffnen im Edit-Modus, bevor Notebook-Zellen ausgeführt werden. Das kann die Erwartung untergraben, dass „Zellen werden erst später ausgeführt, also ist es sicher, solange man nicht alles startet“.
Praktisch heißt das: Schon das Öffnen in einem bestimmten UI-/Bearbeitungszustand kann ausreichen, um einen Schaden auszulösen, wenn Sie eine betroffene Marimo-Version verwenden und das Notebook präpariert wurde.
Zusammenhang zu weiteren CVEs: früherer AI- und weiterer Sicherheitskontext
Die Marimo-Notebook Schwachstelle CVE-2026-75149 ist separat von einer früheren Lücke, die unter CVE-2026-39987 beschrieben wurde. Diese ältere Problematik betraf laut Marimo-Versionen 0.20.4 und früher und hing mit fehlender Authentifizierungsvalidierung am Endpunkt /terminal/ws zusammen. Unter bestimmten Bedingungen könnten Anfragen an diesen Endpunkt ein vollständiges PTY-Shell-Verhalten ermöglichen, wodurch dann beliebige Kommandos ausgeführt werden könnten. Als Patch-Version nennt Marimo hier 0.23.0.
Darüber hinaus gibt es laut Quellenlage eine weitere, separate Advisory: CVE-2026-67618, veröffentlicht am 4. August 2026, mit einem CVSS-Score von 7.1. Diese Schwachstelle behandelt ebenfalls eine Konfigurationsgrenze: Angreifer konnten über Notebook-Metadaten eine kontrollierte AI base_url einbringen. Beim späteren Auslösen einer AI-Anfrage konnte der konfiguriere Zielendpunkt dann eine API-Schlüsselinformation des Operators erhalten, ohne dass eine Notebook-Zelle ausgeführt werden musste.
Der gemeinsame Nenner beider Themen ist die Idee, dass Notebook-inhaltliche Konfiguration nicht als vertrauenswürdig angesehen werden darf. Die Härtung umfasste daher genau diese Grenze über PEP-723-nahe Maßnahmen und eine gezielte Bereinigung/Filterung.
Was Sie jetzt tun sollten
Die wichtigste Maßnahme ist schlicht: aktualisieren. Marimo stellt den Fix in Version 0.23.15 bereit. Zudem gilt als zusätzliche Orientierung, dass laut Marimo-Sicherheitsrichtlinie Sicherheitsupdates für die aktuellste stabile Release angeboten werden und Nutzer angehalten sind, auf dem Laufenden zu bleiben.
Ein praktischer Blick: Die aktuelle PyPI-Veröffentlichung wurde in den Quellen als 0.24.0 genannt (Freigabe am 17. August). Wenn Sie zwischen diesen Versionen liegen, ist 0.24.0 zusätzlich zum Fix eine realistische Zieloption.
Zusätzlich sollten Sie – insbesondere wenn Sie Notebook-Dateien von anderen Quellen erhalten – das Prinzip „nicht alles öffnen, was Ihnen begegnet“ ernster nehmen. Selbst wenn Sie nicht bewusst Zellen ausführen: In dieser Marimo-Notebook Schwachstelle spielt der Edit-Modus eine zentrale Rolle.
Wer hat die Schwachstelle entdeckt?
Die CVE wird in der Beschreibung dem Security-Researcher Gregory Tan zugeordnet, der den Handle Grg0rry nutzt. Außerdem wird erwähnt, dass derselbe Handle als Co-Autor bei einem zugehörigen PEP-723-Härtungscommit von Marimo auftaucht. Das stützt die Annahme, dass die Korrektur nicht nur punktuell, sondern im Kontext der Härtungsarchitektur entwickelt wurde.
Fazit: Aktualisieren, damit Notebook-Konfiguration nicht zur Angriffsschleuse wird
Die Marimo-Notebook Schwachstelle (CVE-2026-75149) zeigt, wie riskant es sein kann, wenn Notebook-Inhalte mit zu viel Vertrauen behandelt werden. In diesem Fall konnte ein MCP-bezogener Befehl bereits beim Öffnen im Edit-Modus als lokaler Subprozess starten – also zeitlich vor der eigentlichen Zellverarbeitung.
Marimo hat das Problem mit Version 0.23.15 behoben und filtert Notebook-Konfigurationen über eine Allowlist, indem relevante Sektionen entfernt werden. Wer solche Notebooks nutzt oder austauscht, sollte die Sicherheitsupdates zeitnah einspielen und bei unbekannten Dateien besonders vorsichtig sein.
Quelle: https://thehackernews.com/2026/08/marimo-notebook-flaw-could-run-mcp.html
