CISA ha inserito una grave falla di sicurezza nel framework Ray tra le vulnerabilità note sfruttate, dopo aver rilevato attacchi attivi che consentono l'esecuzione di codice remoto tramite browser come Firefox e Safari. Gli sviluppatori sono invitati ad aggiornare urgentemente.
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha annunciato l'inserimento di una vulnerabilità critica che colpisce Ray, il popolare framework open source per il calcolo distribuito in Python, nel suo catalogo delle vulnerabilità note sfruttate (KEV). La decisione arriva dopo la conferma di attacchi attivi che sfruttano questa falla per compromettere sistemi di sviluppo e test.
Dettagli della vulnerabilità e modalità di attacco
La vulnerabilità, identificata come CVE-2025-62593 con un punteggio CVSS di 9.4, permette l'esecuzione di codice remoto tramite browser come Mozilla Firefox e Apple Safari sfruttando un attacco di DNS rebinding. Secondo gli sviluppatori di Ray, la mancata implementazione di autenticazione su endpoint critici come /api/jobs e /api/job_agent/jobs/ ha reso possibile questa grave falla, che consente a un attaccante di eseguire codice arbitrario sul sistema di uno sviluppatore semplicemente inducendolo a visitare un sito web malevolo o a visualizzare una pubblicità infetta.
Il problema nasce da controlli insufficienti contro attacchi basati su browser, in particolare quando l'header User-Agent può essere manipolato. In combinazione con un attacco di DNS rebinding, un browser può agire da intermediario inconsapevole e permettere l'accesso a istanze Ray anche all'interno di reti aziendali private.
Impatto sugli sviluppatori e campagne di attacco
La vulnerabilità colpisce soprattutto chi utilizza Ray in ambienti di sviluppo o test. Se la vittima cade in un attacco di phishing o visualizza una pubblicità malevola, l'attaccante può eseguire shell code sul suo computer. Inoltre, la tecnica può essere estesa per colpire altre istanze Ray sulla stessa rete, sfruttando il browser come "confused deputy".
Secondo un report di BitSight, la botnet RondoDox ha iniziato a sfruttare la falla due giorni prima della divulgazione pubblica, grazie alla disponibilità di un exploit proof-of-concept. Oligo ha inoltre segnalato campagne come ShadowRay 2.0, che mirano a trasformare cluster Ray non aggiornati con GPU NVIDIA in botnet per il mining di criptovalute.
Correzioni disponibili e raccomandazioni
La vulnerabilità è stata risolta nella versione 2.52.0 del pacchetto Python di Ray. Il team di sviluppo ha riconosciuto il contributo di Avi Lumelsky (Oligo) per la scoperta del bypass e di Jonathan Leitschuh per la tecnica di DNS rebinding. CISA raccomanda a tutte le agenzie federali statunitensi e agli utenti di Ray di applicare le patch e le misure di mitigazione entro il 20 agosto 2026, per ridurre il rischio di compromissione.
