CVE-2026-57516
Təsvir
Ray 2.56.0-dan əvvəlki versiyalarında WebDataset oxuyucusunda təhlükəli deserializasiya zəifliyi mövcuddur ki, bu da hücumçulara read_webdataset() funksiyasına zərərli tar arxivini təqdim etməklə uzaqdan kodun icrasına nail olmağa imkan verir. webdataset_datasource.py faylındakı _default_decoder() funksiyası .pkl/.pickle uzantılı tar qeydlərinə qarşısız şəkildə pickle.loads() və .pt/.pth qeydlərinə weights_only=False ilə torch.load() çağırışı edərək, zərərli arxivi emal edən hər bir işçi daxilində Ray uzaq işçilərində ixtiyari kodun icrasını həyata keçirir.
Necə düzəltmək olar
- anyscale ray2.56.0 və ya daha yeni versiya
- ray2.56.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| anyscale ray | v < 2.56.0 | 2.56.0 |
| rayPyPI | v < 2.56.0 | 2.56.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.