Ray Dashboard <= 2.8.0 Padtraversering leidend tot Lokale Bestandsbekendmaking

Deze Path Traversal kwetsbaarheid in Ray Dashboard maakt het mogelijk voor een aanvaller om gevoelige bestanden op het systeem te onthullen waarop Ray Dashboard draait. Door het manipuleren van paden via traversal sequences (zoals '../') kan de aanvaller toegang krijgen tot bestanden buiten de statische directory, zoals configuratiebestanden, logbestanden of zelfs broncode. De impact kan variëren afhankelijk van de privileges van de gebruiker die de Ray Dashboard-service uitvoert en de gevoeligheid van de bestanden die toegankelijk zijn. Een succesvolle exploitatie kan leiden tot data-exfiltratie en mogelijk verdere toegang tot het systeem.

Organizations deploying Ray clusters with the Ray Dashboard enabled are at risk, particularly those running versions 0.0 through 2.8.1. Shared hosting environments where multiple users share the same Ray Dashboard instance are especially vulnerable, as an attacker could potentially access files belonging to other users.

• python / server:

import os
import requests

url = 'http://your_ray_dashboard_ip:8265/static/../../../../etc/passwd'
response = requests.get(url)

if response.status_code == 200:
    print('Potential Path Traversal Detected: ', response.text[:100]) # Print first 100 chars
else:
    print('No Path Traversal Detected')

• linux / server:

find / -name 'ray_dashboard.conf' -print 2>/dev/null | while read file;
do
  grep -q 'path_traversal_bypass' $file && echo "Potential Path Traversal Configuration Found: $file";
done

1. 2026-03-17Disclosure

   disclosure

1. Gereserveerd2026-03-17
2. Gepubliceerd2026-03-17
3. EPSS bijgewerkt2026-03-25

De primaire mitigatie voor deze kwetsbaarheid is het upgraden van Ray Dashboard naar versie 2.8.1 of hoger. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de toegang tot Ray Dashboard via een firewall of WAF. Configureer de WAF om traversal sequences (zoals '../') in URL's te blokkeren. Controleer de configuratie van Ray Dashboard om ervoor te zorgen dat de statische directory correct is ingesteld en dat er geen onnodige bestanden toegankelijk zijn. Na de upgrade, verifieer de fix door te proberen toegang te krijgen tot bestanden buiten de statische directory via de Ray Dashboard interface.