jakabakos/shadowray-rce-poc-cve-2023-48022ShadowRay RCE POC (CVE-2023-48022)
Ce script d'exploitation et PoC sont écrits pour une analyse approfondie de la CVE sur vsociety.
Le framework Ray, un outil essentiel pour les applications d'IA et d'apprentissage automatique basées sur Python, a rencontré un défi de sécurité important. En substance, Ray est comme un couteau suisse pour les personnes travaillant sur des projets d'IA et de big data. Identifiée sous le nom de CVE-2023-48022, cette vulnérabilité affecte spécifiquement l'API de soumission de tâches. La description officielle indique que cette faille permet à un attaquant distant d'exécuter du code arbitraire, posant un risque considérable pour les systèmes utilisant ces versions de Ray. La découverte de cette vulnérabilité a souligné l'importance de protocoles de sécurité robustes dans les frameworks logiciels, en particulier ceux qui sont essentiels aux projets d'IA et de ML avec de vastes données et une puissance de calcul.
Tout d'abord, installez Ray :
pip3 install -U "ray[default]"==2.8.0
Ensuite, démarrez Ray :
ray start --head --dashboard-host=0.0.0.0
Exécutez l'exploit Python :
python3 exploit.py --host http://192.168.150.16:8265 --cmd '<cmd>'
Copiez le fichier Ruby dans le dossier correspondant de Metasploit :
cp ray_job_rce.rb /usr/share/metasploit-framework/modules/exploits/multi/misc/
Lancez Metasploit avec msfconsole et rechargez les modules avec reload_all si vous ne trouvez pas celui ajouté.
Vous pouvez le sélectionner avec use exploit/multi/misc/ray_job_rce.
Définissez les options nécessaires (RHOST, RPORT, COMMAND, etc.) et exécutez l'exploit avec la commande exploit.
Ce script d'exploitation a été créé uniquement pour la recherche et le développement de techniques de défense efficaces. Il n'est pas destiné à être utilisé pour des activités malveillantes ou non autorisées. L'auteur et le propriétaire du script déclinent toute responsabilité pour tout usage abusif ou tout dommage causé par ce logiciel. Pour info, les utilisateurs sont invités à utiliser ce logiciel de manière responsable et uniquement conformément aux lois et réglementations applicables. Utilisez-le de manière responsable.