Trusted Design

CVE-2025-62593 の詳細

CVEの情報

説明:
Ray is an AI compute engine. Prior to version 2.52.0, developers working with Ray as a development tool can be exploited via a critical RCE vulnerability exploitable via Firefox and Safari. This vulnerability is due to an insufficient guard against browser-based attacks, as the current defense uses the User-Agent header starting with the string "Mozilla" as a defense mechanism. This defense is insufficient as the fetch specification allows the User-Agent header to be modified. Combined with a DNS rebinding attack against the browser, and this vulnerability is exploitable against a developer running Ray who inadvertently visits a malicious website, or is served a malicious advertisement (malvertising). This issue has been patched in version 2.52.0.

CVE更新日: 2025-11-26 23:15:47.927000

CVSSバージョン: 4.0

CVSSスコア: 9.4

KEVの情報

KEV更新日: 2026-08-17

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.624590000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: False

AIを使った解説

解説:

CVE-2025-62593に関する調査結果を以下にまとめます。

1. 脆弱性の概要

CVE-2025-62593は、分散AIコンピューティングフレームワークであるRayのHTTP APIエンドポイント（例: /api/jobs, `/api/job_agent/jobs/）における重大なリモートコード実行（RCE）の脆弱性です。

この脆弱性は、Rayのブラウザベースの攻撃に対する不十分な防御メカニズムに起因します。具体的には、User-Agentヘッダーが「Mozilla」で始まるかどうかにのみ依存していましたが、fetch仕様によりUser-Agentヘッダーは操作可能であるため、この防御が回避されます。攻撃を成功させるには、DNSリバインディング攻撃と組み合わせ、脆弱なブラウザ（FirefoxやSafariなど）で悪意のあるWebサイトを開発者が訪問するなどのユーザー操作が必要です。

この脆弱性は、CWE-94（コードインジェクション）およびCWE-352（CSRF）に分類されます。

1.1 影響

この脆弱性が悪用されると、攻撃者は開発者のマシン上で任意のシェルコマンドを実行できます。このRCEは、機密性、完全性、可用性のすべてに高い影響を与えます。開発環境では、Rayは機密性の高いソースコード、内部ネットワークキー、開発者資格情報などにアクセスできる場合があるため、攻撃者はこれらを窃取したり、ビルドプロセスに悪意のあるコードを注入してサプライチェーン攻撃を実行したりする可能性があります。また、開発者のマシンを足がかりに、社内ネットワーク内の他のRayインスタンスに横展開する可能性もあります。

1.2 深刻度

CVSS 3.1の基本スコアは8.8で、「HIGH（高）」と評価されています。Red Hatは、この脆弱性を「Important（重要）」と分類していますが、これは攻撃の成功にユーザー操作とDNSリバインディング攻撃が必要であるため、「Critical（緊急）」ではないという判断です。しかし、低攻撃複雑性とゼロ権限で実行可能であることから、開発環境においては「最高レベルの緊急性」であると説明されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Rayのバージョン2.52.0より前のすべてのバージョンが影響を受けます。 この脆弱性はOSに依存せず、Windows、macOS、Linuxのいずれの環境でもペイロードが実行される可能性があります。特に、User-Agentの操作が可能なFirefoxやSafariといったブラウザを介して悪用されます。

2.2 影響を受ける設定

RayのAPIエンドポイントが、バージョン2.52.0より前では認証なしで利用可能であったことが根本原因です。User-Agentヘッダーにのみ依存する防御メカニズムを使用している設定が影響を受けます。

3. 影響を受けた時の兆候

影響を受けた場合、開発者のマシン上で意図しないコード（例えば、電卓の起動など）が実行されることがあります。より深刻なケースでは、機密データへの不正アクセス、内部ネットワークへの侵入、またはサプライチェーン攻撃の兆候が見られる可能性があります。

フォレンジック調査の観点からは、影響を受けるコンポーネントのアクセスログ、Webサーバーのアクセスログ、およびアプリケーションログをチェックし、不正なインバウンドリクエストやアプリケーションの応答を検出することが重要です。

4. 推奨対策

4.1 本対策

Rayをバージョン2.52.0以降に直ちにアップデートすることが強く推奨されます。このバージョンには、適切なトークンベースの認証が導入されており、Sec-Fetchヘッダーを検証することでブラウザからのPOSTおよびPUTリクエストを拒否する修正が含まれています。

4.2 暫定回避策（緩和策）

  • ベンダーの指示に従い、緩和策を適用してください。
  • CISAのBOD 26-04（リスクベースのセキュリティ更新プログラムの優先順位付け）のガイダンス、およびCISAの「フォレンジックトリアージ要件」に従って対策を講じる必要があります。
  • 各資産のインターネット露出度を評価し、BOD 26-04のパッチ適用ガイドラインを遵守してください。
  • エージェントの設定もサプライチェーンの一部として扱い、強固なセキュリティ対策を講じてください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る