AI環境向けに分散処理フレームワーク「Ray」にRCE脆弱性

AI環境向けに分散処理フレームワークを提供するPythonパッケージ「Ray」において脆弱性が明らかとなった。

開発者のエンドポイント環境には認証が設定されていないため、DNSリバインディング攻撃と組み合わせることにより、リモートよりコードを実行されるおそれがある脆弱性「CVE-2025-62593」が判明した。

「Ray」を起動しており、「User-Agent」の情報を書き換えられる「Firefox」「Safari」を利用している場合、フィッシングサイトなど細工されたページを閲覧した際、脆弱性を悪用され、任意のコードを実行されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.4」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームは、「Ray 2.52.0」にてトークンベースの認証機能を追加するなど同脆弱性へ対処。概念実証（PoC）も公開されており、同バージョン以降へのアップデートが呼びかけられている。

（Security NEXT - 2025/12/01 ）ツイート