Ray unter Beschuss: DNS rebinding erlaubt Remote Code Execution

CISA hat am 17. August 2026 die Schwachstelle CVE-2025-62593 (CVSS 9.4) in den Katalog Known Exploited Vulnerabilities aufgenommen und damit die aktive Ausnutzung bestätigt. Die Schwachstelle betrifft Ray – ein populäres Open-Source-Framework zum Skalieren von Workloads für künstliche Intelligenz und Machine Learning – und ermöglicht es Angreifern, über einen DNS rebinding-Angriff in den Browsern Firefox und Safari beliebigen Code aus der Ferne auf der Entwickler-Maschine auszuführen. Der Fix ist in Version 2.52.0 verfügbar; US-Bundesbehörden sind angewiesen, den Patch bis zum 20. August 2026 einzuspielen.

Technischer Kern der Schwachstelle

Die eigentliche Ursache von CVE-2025-62593 ist eine seit Langem bestehende Architekturentscheidung des Ray-Entwicklungsteams, auf kritischen API-Endpunkten – insbesondere /api/jobs und /api/job_agent/jobs/ – keine Authentifizierung zu implementieren. Diese Entscheidung hat bereits früher zu gravierenden Sicherheitsproblemen geführt; die aktuelle Schwachstelle ist eine weitere Folge davon.

Der Angriff basiert auf zwei Komponenten:

• Umgehung der User-Agent-Prüfung: Ray verwendet den User-Agent-Header als einzigen Mechanismus, um Anfragen aus Browsern von solchen programmatischer Clients zu unterscheiden. Der Forscher Avi Lumelsky von Oligo Security hat einen Weg gefunden, diese Prüfung zu umgehen (fetch bypass), wodurch sich beliebige Anfragen an die Ray-API aus dem Kontext eines Browsers senden lassen.
• DNS rebinding: Der Forscher Jonathan Leitschuh zeigte, dass ein Angreifer in Kombination mit einem DNS rebinding-Angriff den Browser des Opfers dazu bringen kann, Anfragen an eine lokale Ray-Instanz zu stellen und so die Same-Origin Policy zu umgehen. Es genügt, wenn der Entwickler eine bösartige Website besucht oder eine Seite mit schädlicher Werbung lädt.

Das Ergebnis einer erfolgreichen Ausnutzung ist die Ausführung beliebigen Shellcodes auf dem Rechner des Opfers. Laut dem offiziellen Advisory lässt sich der Angriff zudem auf Ray-Instanzen im Netzwerk innerhalb eines Unternehmens ausweiten: Der Browser des Entwicklers fungiert dabei als zwischengeschalteter Agent (confused deputy), um auf Ray-Instanzen zuzugreifen, die aus dem Internet nicht direkt erreichbar sind.

Warum diese Schwachstelle besonders gefährlich ist

Auf den ersten Blick betrifft die Schwachstelle vor allem Entwicklungs- und Testumgebungen. Gerade das macht sie aus mehreren Gründen strategisch wertvoll für Angreifer:

• Privilegierter Zugriff: Entwicklerrechner, auf denen mit Ray gearbeitet wird, haben in der Regel Zugriff auf interne Repositories, Secrets, API-Keys und Unternehmensnetzwerke. Die Kompromittierung eines solchen Systems ist ein idealer Einstiegspunkt für laterale Bewegung.
• GPU-Cluster: Ray wird zum Skalieren von ML-Workloads eingesetzt, häufig auf Clustern mit NVIDIA-GPUs. Die Übernahme solcher Ressourcen ist sowohl für Krypto-Mining als auch für den Aufbau von Botnetzen attraktiv.
• Projektskalierung: Das Ray-Repository auf GitHub verzeichnet mehr als 43.500 Stars und über 7.900 Forks – ein Indikator für die weite Verbreitung des Frameworks in der AI/ML-Industrie.
• Niedrige Einstiegshürde für Angreifer: Die Ausnutzung erfordert keinen vorherigen Zugriff auf die Infrastruktur des Opfers – es genügt, den Entwickler auf eine bösartige Seite zu locken oder schädliche Werbung auf einer legitimen Website zu platzieren.

Auswirkungsanalyse

Am stärksten gefährdet sind Organisationen, die Ray für das Training und die Inferenz von Machine-Learning-Modellen einsetzen – etwa Unternehmen aus den Bereichen Finanztechnologie, Gesundheitswesen, autonomer Verkehr und Cloud-basierte AI-Services. Das Angriffsszenario über DNS rebinding ist besonders heimtückisch: Der Entwickler bemerkt die Kompromittierung unter Umständen nicht, da die bösartige Anfrage aus seinem eigenen Browser stammt.

Die Ausweitung des Angriffs auf das Unternehmensnetz über den confused deputy-Mechanismus bedeutet, dass selbst Ray-Instanzen, die nicht ins Internet exponiert sind, nicht sicher sind, sofern nur ein einziger Entwickler mit Zugriff auf diese Instanzen einen verwundbaren Browser verwendet. Dadurch wird eine lokale Schwachstelle in der Entwicklungsumgebung zu einem Vektor für das Eindringen in die interne Infrastruktur.

Empfehlungen zur Behebung

1. Aktualisieren Sie Ray auf Version 2.52.0 oder höher. Dies ist die wichtigste Maßnahme zur Beseitigung der Schwachstelle. Prüfen Sie die installierte Version mit dem Befehl pip show ray.
2. Führen Sie ein Audit exponierter Ray-Instanzen durch. Stellen Sie sicher, dass die Endpunkte /api/jobs und /api/job_agent/jobs/ nicht ohne Authentifizierung erreichbar sind. Auch nach einem Update wird empfohlen, den Netzwerkzugriff auf das Ray Dashboard einzuschränken.
3. Isolieren Sie Entwicklungsumgebungen. Ray-Instanzen in Entwicklungs- und Testumgebungen sollten von produktiver Infrastruktur und kritischen internen Ressourcen segmentiert werden.
4. Begrenzen Sie DNS rebinding auf Netzwerkebene. Konfigurieren Sie DNS-Resolver so, dass Antworten, die für externe Domains auf interne IP-Adressen (RFC 1918) zeigen, blockiert werden. Das reduziert generell das Risiko von DNS rebinding.
5. Setzen Sie auf sicherheitsrelevante Browser-Erweiterungen und -Policies. Erweiterungen und Einstellungen, die DNS rebinding blockieren (beispielsweise in Form von Unternehmensrichtlinien für Browser), bieten eine zusätzliche Schutzschicht.

CISA hat keine Details zu konkreten Vorfällen im Zusammenhang mit der Ausnutzung von CVE-2025-62593 veröffentlicht; die Aufnahme in den KEV-Katalog belegt jedoch, dass entsprechende Angriffe beobachtet wurden. Angesichts der kritischen CVSS-Bewertung von 9.4, der geringen Einstiegshürde für Angreifer und der weiten Verbreitung von Ray in AI/ML-Infrastrukturen sollte das Update auf Version 2.52.0 für alle Teams, die dieses Framework einsetzen, höchste Priorität haben – unabhängig davon, ob Ray in Produktionsumgebungen läuft oder “nur” auf Entwicklerrechnern.