Ray ช่องโหว่รันโค้ดผ่านเบราว์เซอร์ CVE-2025-62593 ถูกโจมตีจริง
นักพัฒนาและผู้ดูแลระบบที่ใช้ Ray ก่อน 2.52.0 ควรเร่งอัปเดต เพราะช่องโหว่นี้ถูกนำไปโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีใช้เว็บหรือโฆษณาอันตรายผ่าน Firefox และ Safari เป็นทางเข้าถึง Ray และสั่งรันโค้ดได้
- ใครควรอ่าน
- นักพัฒนาที่ใช้ Ray ในเครื่องพัฒนาหรือทดสอบ และผู้ดูแลระบบที่ดูแล Ray ในเครือข่าย
- ทางแก้แบบสั้น
- อัปเดต Ray เป็น 2.52.0 หรือใหม่กว่า และพิจารณาเปิดการยืนยันตัวตนเพิ่มเติม วันครบกำหนดในรายการ KEV คือ 20 สิงหาคม 2026
พอดีไล่ฟีด CISA KEV เจอประกาศ Ray รหัส CVE-2025-62593 ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อ 17 สิงหาคม 2026 และระบุวันครบกำหนดไว้ที่ 20 สิงหาคม 2026 ตามข้อมูล KEV ทางการ คนที่เปิด Ray ใช้พัฒนาหรือทดสอบงานก็ควรตรวจรุ่น แม้ไม่ได้เปิดบริการให้อินเทอร์เน็ตเข้าถึงโดยตรง
ใครต้องทำอะไร
- นักพัฒนา: ถ้าใช้ Ray ก่อน 2.52.0 ให้เร่งอัปเดตเป็น 2.52.0 หรือใหม่กว่าในทุกโครงการที่ใช้งาน
- ผู้ดูแลระบบ: ถ้าดูแลเครื่องหรือคลัสเตอร์ Ray ก่อน 2.52.0 ให้เร่งอัปเดตและตรวจว่าเครื่องใดในเครือข่ายเข้าถึงบริการได้บ้าง
เกิดอะไรขึ้น
Ray เป็นระบบประมวลผลงาน AI ตามระเบียน CVE รุ่นที่มีช่องโหว่ใช้ค่า User-Agent ที่ขึ้นต้นด้วย Mozilla เพื่อตรวจและปิดกั้นคำขอจากเบราว์เซอร์ แต่ Firefox และ Safari เปลี่ยนค่านี้ผ่าน fetch ได้ เลยผ่านการตรวจของ Ray ไปได้
ผู้โจมตีใช้ช่องโหว่นี้ร่วมกับ DNS rebinding เพื่อให้เบราว์เซอร์ส่งคำขอไปยัง Ray ที่เข้าถึงได้ ถ้าผู้ใช้กำลังรัน Ray แล้วเผลอเปิดเว็บอันตราย หรือเจอโฆษณาที่ฝังการโจมตี ผู้โจมตีอาจสั่งรันโค้ดบนเครื่อง Ray ได้ ผลกระทบนี้เรียกว่า remote code execution หรือ RCE
ประกาศผู้พัฒนา ระบุว่า API อย่าง /api/jobs และ /api/job_agent/jobs/ ไม่มีการยืนยันตัวตน เบราว์เซอร์ยังอาจเข้าถึง Ray อีกเครื่องในเครือข่ายภายในได้ การอยู่ในเครือข่ายภายในเลยไม่ใช่เหตุผลให้เลื่อนแพตช์
ผู้พัฒนาให้คะแนน CVSS 4.0 เท่ากับ 9.4 ระดับ Critical ส่วน NVD ให้คะแนนของตนเองเป็น CVSS 3.1 เท่ากับ 8.8 ระดับ High แหล่งข้อมูลใช้ CVSS คนละรุ่น ควรดูชื่อรุ่นของคะแนนด้วย
ใครโดนและรุ่นที่แก้
ประกาศผู้พัฒนาระบุรุ่นของแพ็กเกจ ray บน pip ไว้ดังนี้ โดยไม่ได้แยกตามระบบปฏิบัติการ
| ผลิตภัณฑ์ / แพ็กเกจ | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|---|
Ray / ray บน pip |
ก่อน 2.52.0 | 2.52.0 หรือใหม่กว่า |
ตรวจทั้งเครื่องพัฒนา เครื่องทดสอบ และเครื่องที่รัน Ray ให้ทีมใช้งานด้วย ถ้าโครงการแยก virtual environment หรือใช้อิมเมจคนละชุด ต้องตรวจแต่ละชุด การอัปเดตในเครื่องหนึ่งไม่ได้อัปเดตแพ็กเกจของทุกโครงการตามไปด้วย
ต้องทำอะไร
ตรวจรุ่น Ray ด้วย Python ตัวเดียวกับที่ใช้รันงาน แล้วอัปเดตผ่านเครื่องมือจัดการ dependency ของโครงการ ถ้าติดตั้งด้วย pip ใช้คำสั่งนี้ได้
python -m pip show ray
python -m pip install --upgrade "ray>=2.52.0"
python -m pip check
python -m pip show ray
ถ้าโครงการล็อกรุ่นหรือใช้ extras ของ Ray ให้แก้รายการ dependency และ lockfile ตามขั้นตอนของโครงการด้วย จากนั้นเริ่มโปรเซส Ray ใหม่และทดสอบงานเดิม ตรวจด้วยว่าบริการใช้ Python environment ที่เพิ่งอัปเดตจริง
ประกาศผู้พัฒนาระบุว่า Ray 2.52.0 เพิ่มความสามารถยืนยันตัวตนซึ่งปิดไว้โดยค่าเริ่มต้นในรุ่นนั้น ควรพิจารณาเปิดเพิ่มเติมหลังอัปเดต โดยใช้เอกสารให้ตรงกับรุ่นที่ติดตั้ง
ดูวิธีตั้งค่าได้จากเอกสาร token authentication ของ Ray ซึ่งระบุว่ารองรับตั้งแต่ 2.52.0 เป็นต้นไป การเปลี่ยนเบราว์เซอร์ไม่ควรใช้แทนการอัปเดตตามคำแนะนำผู้พัฒนา รายการ KEV ยังให้ทำตามแนวทาง CISA ที่ลิงก์ไว้ รวมถึงการตรวจหาร่องรอยการบุกรุก หากไม่มีมาตรการลดความเสี่ยงให้ใช้ CISA ระบุให้หยุดใช้ผลิตภัณฑ์
ส่วนตัวผมมองว่าถ้าใช้ Ray รุ่นที่ได้รับผลกระทบอยู่ ควรเร่งแพตช์ เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2025-62593, CISA KEV และประกาศความปลอดภัย Ray หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย