出典: Security NEXT – https://www.security-next.com/177785
AI環境向けに分散処理フレームワーク「Ray」にRCE脆弱性
AI環境向けに分散処理フレームワーク「Ray」にRCE脆弱性
AI環境向けに分散処理フレームワークを提供するPythonパッケージ「Ray」において脆弱性が明らかとなった。
開発者のエンドポイント環境には認証が設定されていないため、DNSリバインディング攻撃と組み合わせることにより、リモートよりコードを実行されるおそれがある脆弱性「CVE-2025-62593」が判明した。
「Ray」を起動しており、「User-Agent」の情報を書き換えられる「Firefox」「Safari」を利用している場合、フィッシングサイトなど細工されたページを閲覧した際、脆弱性を悪用され、任意のコードを実行されるおそれがある。
共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.4」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。
開発チームは、「Ray 2.52.0」にてトークンベースの認証機能を追加するなど同脆弱性へ対処。概念実証（PoC）も公開されており、同バージョン以降へのアップデートが呼びかけられている。
（Security NEXT – 2
