jakabakos/shadowray-rce-poc-cve-2023-48022ShadowRay RCE POC (CVE-2023-48022)
Este script de exploit e PoC foram escritos para uma análise aprofundada da CVE no vsociety.
O framework Ray, uma ferramenta essencial para aplicações de IA e machine learning baseadas em Python, enfrentou um desafio de segurança significativo. Em essência, Ray é como um canivete suíço para pessoas que trabalham em projetos de IA e big data. Identificada como CVE-2023-48022, esta vulnerabilidade impacta especificamente a API de submissão de jobs. A descrição oficial afirma que esta falha permite que um atacante remoto execute código arbitrário, representando um risco considerável para sistemas que utilizam essas versões do Ray. A descoberta desta vulnerabilidade ressaltou a importância de protocolos de segurança robustos em frameworks de software, especialmente aqueles integrais a projetos de IA e ML com vastos dados e poder computacional.
Primeiro, instale o Ray:
pip3 install -U "ray[default]"==2.8.0
Em seguida, inicie o Ray:
ray start --head --dashboard-host=0.0.0.0
Execute o exploit Python:
python3 exploit.py --host http://192.168.150.16:8265 --cmd '<cmd>'
Copie o arquivo Ruby para a pasta correspondente do Metasploit:
cp ray_job_rce.rb /usr/share/metasploit-framework/modules/exploits/multi/misc/
Inicie o Metasploit com msfconsole e recarregue os módulos com reload_all se não conseguir encontrar o adicionado.
Você pode selecionar com use exploit/multi/misc/ray_job_rce.
Defina as opções necessárias (RHOST, RPORT, COMMAND, etc.) e execute o exploit com o comando exploit.
Este script de exploit foi criado exclusivamente para pesquisa e desenvolvimento de técnicas defensivas eficazes. Não se destina a ser usado para quaisquer atividades maliciosas ou não autorizadas. O autor e proprietário do script se isentam de qualquer responsabilidade ou obrigação por qualquer uso indevido ou dano causado por este software. Apenas para constar, os usuários são instados a usar este software de forma responsável e apenas de acordo com as leis e regulamentos aplicáveis. Use com responsabilidade.