CISA Flags Actively Exploited Ray Flaw That Can Trigger Browser-Based RCE
Mis à jour :
Vulnérabilité critique dans Ray : Exécution de code à distance activement exploitée
La CISA a ajouté la vulnérabilité CVE-2025-62593 (score CVSS 9.4) à son catalogue des vulnérabilités connues exploitées (KEV), confirmant son utilisation active par des acteurs malveillants. Ce défaut affecte Ray, un framework open-source largement utilisé pour le calcul distribué en IA et machine learning.
Points clés :
- Mécanisme d’attaque : La faille repose sur l’absence d’authentification sur les terminaux critiques de Ray (
/api/jobs). En combinant cela avec une attaque de « rebinding DNS », un attaquant peut forcer un navigateur (notamment Firefox et Safari) à exécuter du code arbitraire sur la machine d’un développeur. - Vecteur d’infection : L’exploitation survient lorsqu’une victime consulte un site web malveillant ou clique sur une publicité compromise. L’attaque peut également servir de vecteur pour atteindre des instances Ray au sein de réseaux privés.
- Impact opérationnel : La vulnérabilité est intégrée à des campagnes telles que « ShadowRay 2.0 », visant à transformer des clusters de calcul (souvent équipés de GPU NVIDIA) en outils de minage de cryptomonnaies ou à déployer des botnets DDoS comme RondoDox.
Vulnérabilité :
- CVE-2025-62593 : Faille d’exécution de code à distance (RCE) critique liée à une absence d’authentification et une vulnérabilité aux attaques par rebinding DNS.
Recommandations :
- Mise à jour immédiate : Appliquer la mise à jour vers la version 2.52.0 du package Python Ray, qui corrige cette vulnérabilité.
- Sécurisation des environnements : Restreindre l’accès aux interfaces de développement et aux API de Ray, et éviter d’exposer ces services non authentifiés à des environnements non sécurisés ou au réseau public.