CVE-2025-62593

Yüksek CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 8.8
EPSS: 62.5%
CWE: CWE-94
KEV Durumu: Evet

Yayım tarihi: 26 Kasım 2025 · CISA KEV son iyileştirme tarihi: 20 Ağustos 2026

Etkilenen: anyscale ray

Ray, bir yapay zeka hesaplama motorudur. 2.52.0 sürümünden önce, Ray'i bir geliştirme aracı olarak kullanan geliştiriciler, Firefox ve Safari aracılığıyla kullanılabilen kritik bir RCE zafiyeti yoluyla sömürülebilir. Bu zafiyet, tarayıcı tabanlı saldırılara karşı yeterli bir koruma olmamasından kaynaklanmaktadır, çünkü mevcut savunma, "Mozilla" dizesiyle başlayan User-Agent başlığını bir savunma mekanizması olarak kullanır. Fetch spécifikasyonunun User-Agent başlığını değiştirmesine izin verdiği için bu savunma yetersizdir. Tarayıcıya karşı bir DNS yeniden bağlama saldırısı ile birleştirildiğinde, bu zafiyet, kasıtlı olarak kötü niyetli bir web sitesini ziyaret eden veya kötü amaçlı reklam (malvertising) sunulan Ray'i çalıştıran bir geliştiriciye karşı sömürülebilir. Bu sorun 2.52.0 sürümünde giderilmiştir.

Orijinal açıklama (İngilizce)

Ray is an AI compute engine. Prior to version 2.52.0, developers working with Ray as a development tool can be exploited via a critical RCE vulnerability exploitable via Firefox and Safari. This vulnerability is due to an insufficient guard against browser-based attacks, as the current defense uses the User-Agent header starting with the string "Mozilla" as a defense mechanism. This defense is insufficient as the fetch specification allows the User-Agent header to be modified. Combined with a DNS rebinding attack against the browser, and this vulnerability is exploitable against a developer running Ray who inadvertently visits a malicious website, or is served a malicious advertisement (malvertising). This issue has been patched in version 2.52.0.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.