En ondsinnet nettside kan kjøre kommandoer på maskiner med Ray

CISA la 17. august 2026 sårbarheten CVE-2025-62593 inn i katalogen over kjente utnyttede sårbarheter, begrunnet med bevis for aktiv utnyttelse. Sårbarheten ligger i Ray, som i sikkerhetsvarselet beskrives som en beregningsmotor for KI, og den rammer alle versjoner før 2.52.0. CISA har gitt oppføringen navnet «Ray-Project Ray Code Injection Vulnerability», og satt 20. august 2026 som frist for amerikanske føderale virksomheter. Sårbarheten ble offentliggjort av Ray-prosjektet 26. november 2025, nesten ni måneder før den havnet i katalogen.

Hva som skjer teknisk

Sårbarheten sitter i dashbordet til Ray, nærmere bestemt endepunktene /api/jobs og /api/job_agent/jobs/. Disse endepunktene krever ikke pålogging, og sikkerhetsvarselet fra Ray-prosjektet knytter det uttrykkelig til en langvarig beslutning i prosjektet om ikke å legge autentisering på dem. Vernet mot forespørsler fra en nettleser har i stedet vært at Ray avviser alt der hodet User-Agent begynner med teksten «Mozilla», altså det som ser ut til å komme fra en nettleser. Den sperren holder ikke, fordi fetch-grensesnittet i Firefox og Safari lar en nettside sette User-Agent til en annen verdi og dermed gå klar av den. Svakheten er klassifisert både som CWE-94, kodeinjeksjon, og som CWE-352, forfalskede forespørsler på tvers av nettsteder. I katalogen bruker CISA bare det første av de to navnene.

Angrepet settes sammen av to deler. Først må nettleseren til en utvikler som kjører Ray lokalt, i det hele tatt nå Ray. Det løses med et DNS rebinding-angrep, en kjent teknikk der et domene angriperen kontrollerer peker på en lokal adresse etter at siden er lastet, slik at nettleseren tror den fortsatt snakker med angriperens nettsted. Deretter sender siden en forespørsel til jobb-endepunktet med kommandoer som Ray kjører. Ifølge varselet er resultatet at vilkårlige skallkommandoer kan kjøres på maskinen til utvikleren, og at det holder at offeret besøker et ondsinnet nettsted eller får servert en ondsinnet annonse. Rettingen kom i Ray 2.52.0, som i tillegg har en autentiseringsfunksjon som er slått av som standard, og varselet oppgir ingen omgåelse for dem som ikke kan oppgradere. Kildene spriker i alvorlighetsvurdering: CNA-en GitHub har satt CVSS 4.0 til 9,4 og alvorlighetsgrad kritisk, mens NVD har satt sin egen CVSS 3.1 til 8,8 og alvorlighetsgrad høy. CISA vurderer i sin SSVC-oppføring utnyttelsen som aktiv og automatiserbar, og den tekniske konsekvensen som total. Hva den aktive utnyttelsen består i, sier verken CISA eller Ray-prosjektet noe om. Den eneste offentlige beskrivelsen CISA selv viser til, er en analyse fra Bitsight av botnettet RondoDox, publisert 11. mars 2026 med observasjoner fram til 16. februar 2026. Bitsight oppgir der at CVE-2025-62593 ble forsøkt utnyttet første gang 24. november 2025, to dager før sårbarheten ble offentliggjort, og skriver samtidig at angrepskoden RondoDox bruker ikke virker, fordi botnettet sender en User-Agent som begynner med «Mozilla» og dermed treffer nettopp den sperren angrepet skulle gå klar av. Bitsight tar forbehold om sine egne målinger. Analysen beskriver et botnett som driver tjenestenektangrep og kryptoutvinning i stor skala, og ikke det målrettede nettleserangrepet mot utviklermaskiner som sikkerhetsvarselet beskriver. Sårbarheten ble funnet av avilum i Oligo Security, som beskrev omgåelsen av User-Agent-sperren, og av JLLeitschuh i Socket, som bygget angrepskoden og stod for offentliggjøringen.

Hva det betyr for deg som kjører Ray lokalt

Dette er ikke et angrep mot en tjener du har satt på nettet. Det er et angrep mot maskinen du selv sitter ved, og det utløses av at du besøker en nettside i en helt vanlig arbeidsdag. Kjører du Ray lokalt og bruker Firefox eller Safari, gir skillet mellom internt og eksternt deg ikke lenger noe vern, fordi forespørselen kommer fra din egen nettleser. Vår vurdering er at det er dette som gjør saken ubehagelig. Kontrollen som skulle stoppe angrep fra nettleseren var en tekststreng, og den strengen velger angriperen selv. Har utviklermaskinen din tilgang til kildekode, nøkler og produksjonsmiljøer, er det den maskinen som står i skuddlinjen, og ikke klyngen dere kjører modellene på.

To spørsmål er verdt å ta først. Det ene er hvilke Ray-versjoner som faktisk kjører hos dere, og det spørsmålet er ofte vanskeligere enn det høres ut, fordi Ray installeres som en pakke fra pakkebrønnen PyPI og ikke som et system noen drifter. Det andre er om noen har kjørt en sårbar versjon i tiden fra varselet kom 26. november 2025 og fram til nå. Fristen 20. august 2026 gjelder amerikanske føderale virksomheter og ikke deg, men den er satt tre dager etter at sårbarheten ble lagt inn, og sier dermed noe om hvor raskt CISA mener dette må håndteres. Vær samtidig klar over at bildet av utnyttelsen er uklart. CISA oppgir aktiv utnyttelse, mens den eneste analysen CISA viser til beskriver angrepskode som ikke virker. Det gjør ikke sårbarheten mindre reell, men det betyr at hastverket hviler på CISAs egen vurdering og ikke på en dokumentert hendelse. Er virksomheten din omfattet av NIS2, er dette uansett en sak der du må kunne vise at sårbarhetshåndteringen også dekker verktøyene utviklerne bruker, og ikke bare tjenerne i produksjon.

Berigo anbefaler

• Oppgrader Ray til 2.52.0 eller nyere overalt, også på utviklernes egne maskiner. Varselet oppgir ingen omgåelse som kan erstatte oppgraderingen.
• Slå på token-autentiseringen som kom i 2.52.0. Den er avslått som standard, så en oppgradering alene gir den ikke.
• Kartlegg hvor Ray faktisk er installert. Let etter pakken i utviklingsmiljøer, notatbøker og byggejobber, ikke bare i produksjon.
• Behandle en sårbar installasjon på en maskin med tilgang til nøkler og kildekode som et spørsmål om kompromittering, og ikke bare som en oppdatering som mangler.
• Sett en fast intern frist for sårbarheter som står i CISAs katalog over kjente utnyttede sårbarheter, og la fristen gjelde utviklerverktøy på lik linje med tjenere.