CISA yêu cầu khắc phục lỗ hổng RCE của Ray trong 3 ngày
"CISA says attackers are actively exploiting a critical remote code execution flaw in the Ray open source framework, tracked as CVE-2025-62593 with a CVSS v4 score of 9.4. The issue can be triggered through browser-based attacks such as phishing or malicious ads, potentially leading to code execution on developer machines or access to Ray instances inside private networks; Ray 2.52.0 fixes the flaw and CISA ordered federal civilian agencies to remediate it within three days."
Rủi ro thực thi mã từ xa đang bị khai thác, có thể dẫn tới chiếm quyền máy phát triển hoặc truy cập vào Ray trong mạng nội bộ.
Có thể ảnh hưởng đến môi trường phát triển/thử nghiệm, làm gián đoạn quy trình ML/Python và tăng nguy cơ lan rộng sang hạ tầng nội bộ.
Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) cho biết lỗ hổng thực thi mã từ xa nghiêm trọng trong Ray đang bị khai thác tích cực. Lỗ hổng được theo dõi là CVE-2025-62593, có điểm CVSS v4 9.4 và ảnh hưởng đến các phiên bản Ray dễ bị tấn công qua trình duyệt.
Theo mô tả kỹ thuật, kẻ tấn công có thể lợi dụng các trang web độc hại hoặc malvertising để nhắm vào nhà phát triển đang chạy Ray trên máy cục bộ. Từ đó, chúng có thể thực thi mã tùy ý trên máy của nạn nhân hoặc tiếp cận các phiên bản Ray nằm trong mạng nội bộ thông qua kỹ thuật DNS rebinding. CISA yêu cầu các cơ quan dân sự liên bang của Mỹ khắc phục trong 3 ngày, thay vì mốc thông thường 14 ngày.
Bản vá đã có trong Ray 2.52.0. Các tổ chức đang dùng Ray nên nâng cấp ngay, rà soát môi trường phát triển/thử nghiệm, và hạn chế triển khai cụm Ray trong mạng không được kiểm soát. Dù xác thực bằng token đã được bổ sung, tính năng này vẫn không bật mặc định, nên không nên xem đây là biện pháp thay thế cho phân tách mạng và kiểm soát truy cập.