Server-Side Request Forgery in Anyscale Ray

Beschreibung

In Anyscale Ray 2.6.3 und 2.8.0 ermöglicht der Endpunkt /log_proxy eine Server-Side Request Forgery (SSRF), über die ein Angreifer serverseitig Anfragen an beliebige Ziele auslösen kann. Der Hersteller vertritt die Position, dass dieser Bericht irrelevant sei, da Ray laut Dokumentation nicht für den Einsatz ausserhalb einer streng kontrollierten Netzwerkumgebung vorgesehen ist. CVSS-Basiswert: 9.1 (Kritisch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Ray

• Ray-Project Ray Code Injection Vulnerability KEV CVE-2025-62593
• CVE-2026-24832 – Out-of-bounds-Write in ixray-1.6-stcop CVE-2026-24832
• Anyscale Ray – Remote Code Execution über die Job-Submission-API CVE-2023-48022
• Ray Dashboard – Command Injection über cpu_profile CVE-2023-6019
• Ray – Unsichere Deserialisierung im WebDataset-Reader CVE-2026-57516
• Unsichere Deserialisierung in Ray Data führt zu Codeausführung beim Parquet-Lesen CVE-2026-41486