CVE-2025-62593

सारांश

Ray एक AI कंप्यूट इंजन है। संस्करण 2.52.0 से पहले, विकास उपकरण के रूप में Ray के साथ काम करने वाले डेवलपर्स फ़ायरफ़ॉक्स और सफारी के माध्यम से शोषण योग्य एक गंभीर RCE भेद्यता के माध्यम से शोषित किए जा सकते हैं। यह भेद्यता ब्राउज़र-आधारित हमलों के विरुद्ध अपर्याप्त सुरक्षा के कारण है, क्योंकि वर्तमान सुरक्षा उपाय के रूप में User-Agent हेडर का उपयोग किया जाता है जो "Mozilla" स्ट्रिंग से शुरू होता है। यह सुरक्षा अपर्याप्त है क्योंकि fetch विनिर्देशन User-Agent हेडर को संशोधित करने की अनुमति देता है। इसे ब्राउज़र के विरुद्ध DNS रिबाइंडिंग हमले के साथ जोड़कर, यह भेद्यता उस डेवलपर के विरुद्ध शोषण योग्य है जो Ray चला रहा है और अनजाने में किसी दुर्भावनापूर्ण वेबसाइट पर जाता है, या उसे दुर्भावनापूर्ण विज्ञापन (malvertising) दिखाया जाता है। यह समस्या संस्करण 2.52.0 में पैच कर दी गई है।

• CVE-2025-62593-PoCPoC

  CVE-2025-62593 के लिए PoC: Ray में बिना प्रमाणीकरण के RCE (CISA KEV)। केवल Stdlib Python।

• CVE-2026-33017एक्सप्लॉइट

  CVE-2025-62593 — Ray Unauthenticated RCE Exploit एक Ray वितरित AI कंप्यूट इंजन में एक बिना प्रमाणीकरण वाली रिमोट कोड निष्पादन भेद्यता है।