PT-2025-48224

CVE-2025-34351

Publicado

2025-11-27

Atualizado

2026-06-29

Descrição por

CVSS 4.0

9.3

Crítica

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Anyscale Ray versão 2.52.0

Descrição O Anyscale Ray 2.52.0 possui uma configuração padrão na qual a autenticação baseada em token para as interfaces de gerenciamento do Ray, incluindo o dashboard e a Jobs API, está desabilitada, a menos que seja explicitamente habilitada definindo a variável RAY AUTH MODE para 'token'. Sem a autenticação habilitada, um atacante remoto com acesso de rede a essas interfaces pode submeter jobs e executar código arbitrário no cluster do Ray. O endpoint da API para submissão de jobs está vulnerável.

Recomendações Habilite a autenticação por token definindo a variável RAY AUTH MODE para 'token' para proteger o cluster contra acesso não autorizado.

Explorabilidade

Correção

Impactos

Pesquisadores

Jonathan Leitschuh

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-304: Missing Critical Step in Authentication

CWE-1188: Initialization of a Resource with an Insecure Default

Identificadores relacionados

CVE-2025-34351