BDU:2025-14769

Опубликовано: 14 нояб. 2025

Источник: fstec

CVSS3: 9.6

CVSS2: 10

EPSS Низкий

Описание

Уязвимость фреймворка для масштабирования приложений AI и Python Ray связана с подделкой межсайтовых запросов при обработке заголовка User-Agent. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код через браузеры Firefox и Safari

Вендор

Anyscale Inc

Наименование ПО

Ray

Версия ПО

до 2.52.0 (Ray)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,6)

Критический уровень опасности (оценка CVSS 4.0 составляет 9,4)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/ray-project/ray/commit/70e7c72780bdec075dba6cad1afe0832772bfe09

https://github.com/ray-project/ray/releases/tag/ray-2.52.0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-62593
CVE

EPSS

Процентиль: 1%

0.0001

Низкий

9.6 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-62593

nvd

2 месяца назад

Ray is an AI compute engine. Prior to version 2.52.0, developers working with Ray as a development tool can be exploited via a critical RCE vulnerability exploitable via Firefox and Safari. This vulnerability is due to an insufficient guard against browser-based attacks, as the current defense uses the User-Agent header starting with the string "Mozilla" as a defense mechanism. This defense is insufficient as the fetch specification allows the User-Agent header to be modified. Combined with a DNS rebinding attack against the browser, and this vulnerability is exploitable against a developer running Ray who inadvertently visits a malicious website, or is served a malicious advertisement (malvertising). This issue has been patched in version 2.52.0.

GHSA-q279-jhrf-cc6v

github