Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-94
  • CWE-352

CVE-2025-62593

Ray'de DNS rebinding ile Firefox ve Safari üzerinden uzaktan kod çalıştırma

Ray-Project Ray

Kritik 9,4 CVSS 4.0
Yayımlandı
Güncellendi
1 Eki 2026
Açık yaşı
335 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 17 Ağu 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 20 Ağu 2026.

Yönetici özeti

Ray'i geliştirme aracı olarak kullanan çalışanlar, yalnızca kötü amaçlı bir web sitesini veya reklamı görüntülemekle bilgisayarlarının saldırganların eline geçmesine neden olabilir. Zafiyet aktif olarak istismar edilmektedir ve kritik seviyededir; bu nedenle güncelleme acilen yapılmalıdır.

ÖzetTürkçe

Ray AI hesaplama motorunun 2.52.0 öncesi sürümlerinde, tarayıcı tabanlı saldırılara karşı alınan koruma yetersizdir. Koruma, User-Agent başlığının "Mozilla" ile başlamasına dayanır; ancak fetch belirtimi bu başlığın değiştirilmesine izin verdiği için bu kontrol aşılabilir. DNS rebinding saldırısıyla birleştiğinde, Ray çalıştıran bir geliştirici Firefox veya Safari ile kötü amaçlı bir siteyi ya da reklamı (malvertising) ziyaret ettiğinde zafiyet istismar edilebilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, Ray çalıştıran geliştiricinin sisteminde uzaktan kod çalıştırabilir. Bu da sistemin ve üzerindeki verilerin tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Ray is an AI compute engine. Prior to version 2.52.0, developers working with Ray as a development tool can be exploited via a critical RCE vulnerability exploitable via Firefox and Safari. This vulnerability is due to an insufficient guard against browser-based attacks, as the current defense uses the User-Agent header starting with the string "Mozilla" as a defense mechanism. This defense is insufficient as the fetch specification allows the User-Agent header to be modified. Combined with a DNS rebinding attack against the browser, and this vulnerability is exploitable against a developer running Ray who inadvertently visits a malicious website, or is served a malicious advertisement (malvertising). This issue has been patched in version 2.52.0.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Ray'i, sorunun giderildiği 2.52.0 sürümüne veya daha yenisine güncelleyin. Üretici
  2. Güncelleme yapılana kadar Ray'i çalıştıran makinelerde Firefox ve Safari ile güvenilmeyen sitelere girmeyin; Ray hizmetlerini tarayıcının eriştiği ağdan izole edin. Genel öneri
  3. CISA gereği, üretici talimatlarına uygun şekilde önlemleri uygulayın, varlıklarınızın internete açıklık durumunu değerlendirin; önlem uygulanamıyorsa ürünün kullanımını bırakın. CISA
  4. Etkilenen sürümü çalıştıran sistemlerde olası ele geçirilmeye karşı olay incelemesi (adli triyaj) yapın. CISA

Ek önlemler

  • Ray panosunu ve hizmetlerini yalnızca yerel arayüze veya güvenilir bir iç ağa bağlayın; gereksiz yere ağa açmayın. Genel öneri
  • Geliştirici tarayıcılarında reklam engelleyici kullanarak malvertising riskini azaltın. Genel öneri
  • Geliştirme makinelerinde beklenmeyen süreçleri ve dışarıya yönelik bağlantıları izleyin. Genel öneri
  • Geliştirme ortamlarında kritik kimlik bilgilerini ve üretim erişimlerini tutmaktan kaçının. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Ray-Project Ray < 2.52.0 2.52.0

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.