Ray چیست و چه کاربردی دارد؟
Ray یک فریم‌ورک متن‌باز و مبتنی بر پایتون (Python) برای محاسبات توزیع‌شده (Distributed Computing) محسوب می‌شود که با هدف اجرای مقیاس‌پذیر بارهای کاری هوش مصنوعی (AI) و یادگیری ماشین (ML) توسعه یافته است. پروژه Ray در گیت‌هاب بیش از 43,500 ستاره دارد و تعداد فورک‌های (Fork) آن نیز از 7,900 مورد فراتر رفته است؛ آماری که حکایت از محبوبیت این فریم‌ورک در میان توسعه‌دهندگان دارد.
آسیب‌پذیری Ray با امکان اجرای کد از راه دور
آسیب‌پذیری Ray می‌تواند از طریق مرورگرهایی مانند موزیلا فایرفاکس و اپل سافاری امکان اجرای کد از راه دور (RCE) را فراهم کند. مهاجم با استفاده از حمله DNS Rebinding می‌تواند از این آسیب‌پذیری سوءاستفاده کرده و کد دلخواه خود را روی سیستم هدف اجرا کند.
بر اساس هشداری که توسعه‌دهندگان Ray در نوامبر 2025 منتشر کردند، عدم وجود سازوکار احراز هویت در Endpointهای حساسی مانند /api/jobsو /api/job_agent/jobs/ که از مدت‌ها پیش در طراحی این پروژه وجود داشته، بار دیگر زمینه ایجاد یک آسیب‌پذیری بحرانی را فراهم کرده است. این ضعف به مهاجمان اجازه می‌دهد کد دلخواه را روی نمونه‌های Ray اجرا کنند. در این سناریو، مهاجم می‌تواند از طریق مرورگرهایی مانند فایرفاکس و سافاری یک نمونه Ray را در محیط توسعه هدف قرار دهد.
نقش مرورگر در سوءاستفاده از آسیب‌پذیری Ray
ریشه اصلی این آسیب‌پذیری Ray به ضعف در مقابله با حملاتی بازمی‌گردد که از طریق مرورگر انجام می‌شوند؛ به‌ویژه در شرایطی که مهاجم بتواند هدر عامل کاربر (User-Agent) را دستکاری کند. ترکیب این ضعف با حمله DNS Rebinding این امکان را فراهم می‌کند که مهاجم، توسعه‌دهنده‌ای را که Ray را اجرا می‌کند، تنها با ورود ناخواسته به یک وب‌سایت مخرب یا مشاهده یک تبلیغ مخرب هدف قرار دهد.
این ضعف امنیتی عمدتاً توسعه‌دهندگانی را هدف قرار می‌دهد که از Ray در محیط‌های توسعه و آزمایش استفاده می‌کنند. در صورتی که کاربر هدف یک حمله فیشینگ قرار بگیرد یا یک تبلیغ مخرب به او نمایش داده شود، مهاجم می‌تواند از این موقعیت برای اجرای شل کد دلخواه (Arbitrary Shell Code) روی سیستم او استفاده کند.
گسترش حمله به نمونه‌های Ray در شبکه داخلی
دامنه تأثیر آسیب‌پذیری Ray تنها به نمونه مستقر روی سیستم توسعه‌دهنده محدود نمی‌شود و نمونه‌های موجود در شبکه را نیز دربر می‌گیرد. توسعه‌دهندگان Ray هشدار داده‌اند که مهاجم می‌تواند با استفاده از مرورگر قربانی، نمونه‌های Ray موجود در شبکه داخلی را نیز هدف قرار دهد.
در این سناریو، مرورگر قربانی بدون اطلاع کاربر به واسطه‌ای برای ارسال درخواست‌های مهاجم تبدیل می‌شود و امکان دسترسی به نمونه‌های Ray در شبکه خصوصی سازمانی را فراهم می‌کند. به بیان ساده، مرورگر کاربر می‌تواند درخواست‌های مهاجم را به سرویس‌های داخلی منتقل کند و مسیر دسترسی او به نمونه‌های Ray موجود در شبکه سازمانی را هموار سازد.
انتشار پچ امنیتی
این آسیب‌پذیری در نسخه 2.52.0 پکیج پایتون Ray برطرف شده است. بنابراین، کاربران باید در اسرع وقت پچ امنیتی مربوطه را اعمال کرده و Ray را به نسخه 2.52.0 یا بالاتر به‌روزرسانی کنند.
با توجه به اکسپلویت فعال CVE-2025-62593، به آژانس‌های زیرمجموعه شاخه اجرایی غیرنظامی فدرال ایالات متحده (FCEB) توصیه شده است اصلاحات و اقدامات لازم برای کاهش ریسک (Mitigations) را تا تاریخ 20 آگوست 2026 اعمال کنند.
با توجه به امکان اجرای کد از راه دور (RCE) و سابقه سوءاستفاده مهاجمان از نمونه‌های پچ‌نشده Ray، سازمان‌ها باید وضعیت نسخه‌های مورد استفاده خود را بررسی کرده و اعمال پچ امنیتی را در اولویت قرار دهند. همچنین، محدودسازی دسترسی نمونه‌های Ray از شبکه می‌تواند احتمال سوءاستفاده از این ضعف امنیتی را کاهش دهد.
سابقه سوءاستفاده و حملات مرتبط
CISA تاکنون اطلاعاتی درباره نحوه سوءاستفاده از این آسیب‌پذیری Ray در حملات واقعی منتشر نکرده است. با این حال، گزارش مارس 2026 شرکت BitSight نشان داد عاملان بات‌نت DDoS موسوم به RondoDox، تنها دو روز پیش از افشای عمومی این آسیب‌پذیری در 26 نوامبر 2025، آن را وارد مجموعه ابزارهای مورد استفاده خود در حملات کرده بودند. وجود کد اثبات مفهوم (PoC) باعث شد این آسیب‌پذیری خیلی زود در حملات مهاجمان مورد سوءاستفاده قرار گیرد.
بر اساس گزارش شرکت Oligo، نمونه‌های پچ‌نشده Ray نیز هدف حملاتی قرار گرفتند که مهاجمان در جریان آن‌ها، کلاسترهای آلوده مجهز به پردازنده‌های گرافیکی NVIDIA (GPU) را به بات‌نت‌هایی برای استخراج رمزارز با قابلیت انتشار خودکار تبدیل کردند. این کمپین که با نام ShadowRay 2.0 شناخته می‌شود، نمونه‌های پچ نشده Ray را به زیرساختی برای استخراج غیرمجاز رمزارز تبدیل می‌کند.
