Kerngegevens
Simpel uitgelegd
Wat is er aan de hand?
Ray is een platform voor AI-rekenwerk. In versies voor 2.52.0 kan een aanvaller via de browser van een ontwikkelaar op afstand eigen code laten draaien op het systeem waar Ray op draait. De beveiliging tegen aanvallen via de browser blijkt te zwak. Het lek staat sinds augustus 2026 op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je Ray als ontwikkelhulpmiddel gebruikt met een versie ouder dan 2.52.0 en je daarbij Firefox of Safari gebruikt. Een aanvaller heeft geen inlog nodig, maar jij moet wel een kwaadaardige website bezoeken of een kwaadaardige advertentie te zien krijgen. Het gaat dus vooral om ontwikkelaars en teams die Ray op hun eigen werkplek of in een testomgeving draaien.
Wat moet je doen?
Controleer je versie van Ray
Kijk na waar je Ray gebruikt, ook op laptops van ontwikkelaars en in testomgevingen, en welke versie daar draait. Alles voor 2.52.0 is getroffen.
Werk Ray bij naar 2.52.0
Installeer versie 2.52.0 of nieuwer. Daarin heeft de leverancier dit lek opgelost.
Wees voorzichtig met websites tijdens het werken
Zolang je nog niet bijgewerkt hebt, kun je beter geen onbekende websites bezoeken op een machine waar Ray draait. Een kwaadaardige advertentie is namelijk al genoeg.
Controleer op verdachte activiteit
Het lek wordt actief misbruikt. Kijk daarom op systemen waar een oudere versie van Ray draaide of er onverwachte processen of wijzigingen zijn. Volg daarvoor het advies van de leverancier.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Ray weerde aanvallen vanuit de browser af door te controleren of de User-Agent-header met de tekst "Mozilla" begint. Die controle is onvoldoende, omdat de fetch-specificatie toestaat dat de User-Agent-header wordt aangepast. In combinatie met een DNS-rebinding-aanval kan een kwaadaardige webpagina daardoor verzoeken sturen naar een Ray-instantie op het systeem van de ontwikkelaar. Zo kan de aanvaller willekeurige code uitvoeren. De aanval werkt via het netwerk, vraagt weinig complexiteit en geen rechten, maar wel een handeling van de gebruiker, zoals het bezoeken van een website of het zien van een advertentie. In de beschrijving worden Firefox en Safari genoemd als uitbuitbare browsers.
CVSS-vector (versie 3.1, basisscore 8,8, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-94 · Code-injectie (onjuiste controle op het genereren van code)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 62,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 17 augustus 2026
- Deadline van CISA
- 20 augustus 2026
- Gebruikt door ransomwaregroepen
- Niet bekend