Ray entra nel KEV, UNISOC espone Android e GeoServer corre contro gli exploit

🛡️ Executive Summary

• CISA inserisce CVE-2025-62593 di Ray nel KEV dopo la conferma dello sfruttamento attivo della vulnerabilità di code injection.
• UNISOC T612 non isola correttamente memoria modem e kernel: codice già eseguito sul modem può ottenere lettura e scrittura della memoria fisica.
• GeoServer corregge la SQL injection pre-auth jsonArrayContains dopo centinaia di tentativi di probing osservati a poche ore dalla disclosure pubblica.

Tre vulnerabilità mostrano ancora una volta quanto rapidamente il confine tra ricerca, disclosure e sfruttamento reale possa ridursi. CISA ha inserito CVE-2025-62593 di Ray nel catalogo KEV, confermando che la code injection viene utilizzata negli attacchi. Su Android, una nuova ricerca dimostra invece che il modem UNISOC T612 può raggiungere la memoria fisica del kernel, trasformando una precedente compromissione della baseband in privilege escalation completa. GeoServer affronta infine una SQL injection pre-auth nella funzione jsonArrayContains: dopo la pubblicazione pubblica del bug sono comparsi rapidamente tentativi di sfruttamento, spingendo il progetto a distribuire aggiornamenti urgenti per i rami supportati e persino per una serie già end-of-life.

CISA porta CVE-2025-62593 di Ray nel catalogo KEV

CVE-2025-62593 interessa Ray, framework distribuito utilizzato per workload Python, machine learning e infrastrutture AI. La vulnerabilità combina code injection e CSRF e permette, nelle condizioni descritte dal progetto, di trasformare l’accesso Web al dashboard Ray in esecuzione di codice sul sistema. L’inserimento nel Known Exploited Vulnerabilities Catalog di CISA sposta il problema dalla semplice disponibilità di un exploit alla conferma dell’utilizzo in attacchi reali. Ray aveva già rafforzato più volte le protezioni contro CVE-2025-62593, arrivando nelle release successive a controllare ulteriori header specifici dei browser per impedire richieste pericolose verso il dashboard. Il caso conferma il valore operativo del KEV: non è una classifica basata sul solo punteggio CVSS, ma un elenco di vulnerabilità per le quali esistono evidenze di exploitation. Lo stesso criterio è emerso recentemente con Progress LoadMaster sfruttato attivamente e inserito nel catalogo CISA e con Langflow, N-central e Tomcat aggiunti al KEV. Per gli ambienti Ray esposti o raggiungibili attraverso browser non affidabili, l’aggiornamento deve quindi essere accompagnato dalla verifica dell’eventuale compromissione precedente.

UNISOC T612 permette al modem di raggiungere il kernel Android

Una superficie completamente diversa emerge dalla ricerca di SSD Secure Disclosure sul SoC UNISOC T612. Il problema, classificato come CWE-1189 Improper Isolation of Shared Resources, nasce dall’assenza di un isolamento sufficiente tra la memoria controllata dal modem e quella utilizzata dal kernel. Un attaccante che sia già riuscito a ottenere code execution nel modem può riconfigurare la prima regione della Memory Protection Unit, assegnandole privilegi di lettura, scrittura ed esecuzione sull’intero spazio di indirizzamento a 32 bit. Da quel momento può leggere e modificare direttamente la memoria fisica, compresa l’area nella quale risiede il kernel Android. Il report tecnico di SSD mostra una catena completa nella quale questa debolezza viene combinata con una precedente RCE della baseband: il payload viene trasportato attraverso messaggi SIP INVITE e attivato durante una videochiamata, dopodiché la compromissione del modem viene estesa fino al kernel. Nei test sono stati utilizzati Realme C33, Xiaomi Redmi A5 e Motorola E13 con differenti livelli di patch. SSD afferma di avere tentato di contattare UNISOC attraverso più canali senza ricevere risposta.

È importante separare i due passaggi: la nuova debolezza non è da sola una RCE remota, perché richiede che l’attaccante sia già in grado di eseguire codice nel modem. Il problema è la demolizione del confine tra baseband e application processor. Una volta conquistato il primo ambiente, la MPU non impedisce più di raggiungere il secondo. Il rischio ricorda quello mostrato recentemente da CATana contro SIM, modem e comandi AT, dove componenti normalmente considerati periferici diventano un percorso verso funzioni privilegiate del dispositivo. La necessità di mantenere aggiornato l’intero stack Android, e non soltanto framework e applicazioni, era già evidente nel bollettino Android di giugno 2026 con vulnerabilità critiche nel Framework e nel System.

GeoServer corregge la zero-day dopo i primi tentativi di exploit

GeoServer ha invece dovuto reagire a una disclosure pubblica non coordinata relativa alla funzione jsonArrayContains di GeoTools. Il bug permette una SQL injection senza autenticazione quando GeoServer utilizza layer PostGIS compatibili: il valore controllato dall’utente viene inserito nella query generata senza escaping sufficiente. In configurazioni favorevoli all’attaccante, l’accesso al database può diventare un percorso verso remote code execution. Poche ore dopo la pubblicazione dei dettagli, società di sicurezza hanno iniziato a osservare centinaia di tentativi di probing provenienti da un numero limitato di indirizzi IP.

La situazione è cambiata rapidamente rispetto alle prime segnalazioni che parlavano di zero-day senza correzione. Il progetto ha pubblicato il 14 agosto GeoServer 3.0.1, 2.28.5 e 2.27.6, risolvendo il problema attraverso GeoTools 35.1, 34.5 e 33.6. La falla è ora registrata come GHSA-mqjf-5f49-2fjh con punteggio CVSS 9.8. Il bollettino ufficiale GeoServer specifica che il problema richiede PostGIS 12 o successivo e una colonna Text o JSON e definisce l’aggiornamento urgente per gli ambienti di produzione. È stata rilasciata persino la versione 2.27.6, nonostante il ramo avesse già raggiunto l’end-of-life, esclusivamente per fornire una mitigazione di sicurezza. Il precedente più pericoloso è CVE-2024-36401, altra vulnerabilità GeoServer poi sfruttata in operazioni reali. L’aggiornamento CISA che comprendeva GeoServer tra le vulnerabilità sfruttate aveva già mostrato quanto una piattaforma geospaziale esposta possa diventare interessante per attori che cercano accesso iniziale a reti governative e aziendali.