江苏
关键词
安全漏洞
Ray 是 Anyscale 开发的一个开源框架，主要用于在机器集群中扩展人工智能和 Python 应用程序，以实现分布式计算工作负载。该框架在 GitHub 上拥有很好的“声誉”，亚马逊、Spotify、LinkedIn、Instacart、Netflix、Uber 和 OpenAI 等全球许多组织都在使用它训练 ChatGPT。威胁攻击者积极利用安全漏洞
2023 年 11 月，Anyscale 方面披露了五个 Ray 安全漏洞，分别追踪为 CVE-2023-6019、CVE-2023-6020、CVE-2023-6021 、CVE-2023-48023 、CVE-2023-48022 ，其中前四个安全漏洞很快就修补了，但严重远程代码执行漏洞 CVE-2023-48022 一直未修补。
Anyscale 指出，只有在违反项目文档中有关限制在网络环境中使用 Ray 建议的部署， CVE-2023-48022 安全漏洞才有可能被威胁攻击者利用。值得一提的是，Anyscale 表示期平台是作为分布式执行框架来执行代码，因此并不认为这是安全漏洞，而是一个简单的“错误”。
然而，最终的结果可能没有 Anyscale 想的那么乐观，无论 CVE-2023-48022 安全漏洞如何归类，其缺乏身份验证的特性，都给威胁攻击者创造了机会，使得他们能够一直在不安全的环境中利用 CVE-2023-48022 漏洞。
Oligo 在报告中称，由于 CVE-2023-48022 安全漏洞存在争议，许多开发团队（以及大多数静态扫描工具）都没有对其投入过多的关注。目前，安全研究人员已经观察到 CVE-2023-48022 安全漏洞在野外被积极利用的实例，这就使其成为了有争议的"影子漏洞"。（-影子漏洞：一种不会在静态扫描中显示，但仍可能导致漏洞入侵和重大损失的 CVE"）。
暴露的秘密 （来源：Oligo）
被入侵服务器上运行了多个 XMRig 矿机（来源：Oligo）
反向借壳（来源：Oligo）
研究人员还对 base64 编码的有效载荷进行了调查，发现有人试图使用 VirusTotal 上任何反病毒引擎都未检测到的开源脚本，试图在被入侵机器上提升权限。
在发现这些问题后，Oligo 表示他们立刻向可能受到影响的公司发出了警告，并提供了修复援助。但是，想要确保 Ray 部署的绝对安全，关键是要在安全的环境中运行，执行防火墙规则，为 Ray Dashboard 端口添加授权，并持续监控异常情况。此外，还应避免使用绑定到 0.0.0.0 等默认设置，并利用可增强集群安全的工具。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
