Уязвимость произвольного импорта модулей в hydra-ray-launcher (CVE-2026-115749)
В hydra-ray-launcher обнаружена уязвимость произвольного импорта модулей через OmegaConf-резолвер ray_pkg_version. Атакующий, контролирующий значения конфигурации или параметры командной строки, может инициировать импорт произвольного установленного модуля и побочные эффекты при его загрузке. Критичность — средняя (CVSS 4.8).
Подробности
Уязвимость связана с работой OmegaConf-резолвераray_pkg_version: передаваемое в него значение без должной проверки попадает в функцию importlib.import_module(). Если атакующий может управлять значениями конфигурации или переопределениями через командную строку, он способен подставить в интерполяцию ray_pkg_version имя любого установленного в системе модуля. В результате этот модуль будет импортирован в процесс приложения, что приведёт к выполнению побочных эффектов на этапе импорта (import-time side effects).
По классификации CVSS уязвимости присвоен балл 4.8, что соответствует среднему уровню критичности. Такой вектор атаки требует возможности влиять на конфигурацию или аргументы запуска, поэтому практическая эксплуатация зависит от того, насколько доверенными являются источники конфигурации в конкретном сценарии использования hydra-ray-launcher. Тем не менее даже ограниченное влияние на параметры конфигурации может привести к нежелательной загрузке кода в процесс приложения.
Затронуты: hydra-ecosystem / hydra-ray-launcher — версии 1.1.0.dev1 до 1.2.2 и 1.4.0.dev4 до 1.4.0rc2.
Что делать
Рекомендуется обновить hydra-ray-launcher до исправленных версий: 1.2.2 или 1.4.0rc2 (и выше) в зависимости от используемой ветки. Если обновление невозможно, следует ограничить возможность недоверенного изменения конфигурации и переопределений через командную строку: не принимать значенияray_pkg_version из ненадёжных источников, проверять и валидировать конфигурационные файлы, а также ограничить круг лиц и систем, имеющих право задавать параметры запуска. Дополнительно имеет смысл проанализировать окружение на предмет неожиданно установленных модулей, которые могут быть использованы для импорта.
Итог: уязвимость CVE-2026-115749 не является критической, но требует внимания в проектах, где конфигурация hydra-ray-launcher формируется из внешних или частично доверенных источников. Своевременное обновление до 1.2.2 или 1.4.0rc2 закрывает проблему.
Источник: CVE Project (cvelistV5)