Peringatan Keamanan

Publikasi KUTIM-CSIRT

Peringatan Keamanan

Peringatan Keamanan: Kerentanan Remote Code Execution pada Ray Dieksploitasi Aktif

Adam  ·  27 Agt 2026  ·  KUTIM-SA-2026-042  ·  TLP:CLEAR

Peringatan Keamanan: Kerentanan Remote Code Execution pada Ray Dieksploitasi Aktif
Sumber: Artikel ini diterbitkan ulang oleh KUTIM-CSIRT berdasarkan Security Advisory (Imbauan Keamanan) yang diedarkan Direktorat Operasi Keamanan Siber BSSN kepada Ketua TTIS Organisasi dan TTIS Sektor pada 26 Agustus 2026. Nomor CVE, skor, dan versi terdampak bersumber dari edaran tersebut beserta lampiran resminya, dan telah kami verifikasi ulang ke NVD, katalog KEV CISA, serta advisory proyek Ray. Dokumen asli: Security Advisory CVE-2025-62593 Kerentanan pada Perangkat Ray – BSSN/Id-SIRTII.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengembangkan atau menjalankan aplikasi berbasis Ray (mesin komputasi AI terdistribusi) untuk segera menindaklanjuti CVE-2025-62593, kerentanan remote code execution berskor CVSS 9,4 (Critical). Kerentanan ini dimasukkan ke katalog Known Exploited Vulnerabilities (KEV) CISA pada 17 Agustus 2026, yang berarti eksploitasinya sudah teramati di dunia nyata.

Ikhtisar

Ray adalah kerangka kerja sumber terbuka untuk menjalankan komputasi Python dan beban kerja AI secara terdistribusi. CVE-2025-62593 (CWE-94, code injection; CWE-352) terdapat pada Ray versi sebelum 2.52.0. Vektor CVSS 4.0 dari pengelola Ray: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.

Ray tidak menerapkan autentikasi pada endpoint pengiriman pekerjaan seperti /api/jobs dan /api/job_agent/jobs/. Sebagai pelindung dari serangan lewat peramban, Ray hanya memeriksa apakah header User-Agent berawalan “Mozilla”. Pemeriksaan ini tidak memadai: pada Firefox dan Safari, header tersebut dapat diubah melalui Fetch API. Bila digabung dengan serangan DNS rebinding, sebuah situs atau iklan berbahaya yang dibuka pengguna dapat menjangkau Ray Dashboard dan Jobs API yang berjalan di komputernya atau di jaringan lokal.

Penegasan skor: edaran BSSN mencantumkan skor 8,8 (High), yaitu skor CVSS 3.1 yang ditetapkan NVD. Pengelola Ray (melalui GitHub) menilai kerentanan ini dengan CVSS 4.0 dan memperoleh skor 9,4 (Critical). Kedua skor sah, hanya berbeda versi metodologi; artikel ini memakai 9,4 sebagai peringkat utama sambil mencatat 8,8 dari NVD. Perlu juga dicatat bahwa dampak utamanya mengenai komputer pengembang atau lingkungan pengujian yang menjalankan Ray, dan korban perlu mengunjungi halaman atau iklan berbahaya (vektor UI:P).

Dampak

  • Penyerang dapat mengirim pekerjaan berbahaya ke Ray dan menjalankan perintah sembarang tanpa autentikasi.
  • Komputer atau server yang menjalankan Ray dapat dikuasai sepenuhnya, termasuk data, kredensial, dan akses ke jaringan di sekitarnya (VC:H/VI:H/VA:H dengan dampak lanjutan SC:H/SI:H/SA:H).
  • Cukup dengan membuka halaman web atau iklan berbahaya (malvertising) pada peramban Firefox atau Safari di komputer yang menjalankan Ray, tanpa unduhan apa pun.
  • Klaster Ray yang memuat model AI dan data pelatihan berisiko mengalami pencurian atau perusakan data.

Sistem yang Terdampak

ProdukVersi TerdampakVersi Perbaikan
Ray (paket ray dari ray-project)Semua versi sebelum 2.52.02.52.0 atau lebih baru

Detail Teknis

Akar masalahnya adalah ketiadaan autentikasi pada API pengiriman pekerjaan yang dibela hanya oleh heuristik User-Agent. Karena spesifikasi Fetch mengizinkan header itu diubah pada Firefox dan Safari, pembelaan tersebut dapat dilewati. Serangan DNS rebinding kemudian membuat peramban korban menganggap alamat milik penyerang sebagai satu asal dengan layanan Ray yang berjalan lokal. Rincian teknis yang lebih dalam tidak kami muat karena dapat langsung dimanfaatkan.

Rekomendasi

  1. Inventarisasi pemakaian Ray pada komputer pengembang, server pengujian, maupun klaster produksi, lalu periksa versi paket ray yang terpasang.
  2. Perbarui Ray ke versi 2.52.0 atau lebih baru.
  3. Batasi akses ke Ray Dashboard dan Jobs API hanya dari alamat IP atau jaringan yang tepercaya; jangan membukanya ke internet.
  4. Gunakan firewall, reverse proxy, atau kontrol akses jaringan untuk membatasi endpoint seperti /api/jobs dan /api/job_agent/jobs/.
  5. Selama pembaruan belum diterapkan, hindari memakai peramban Firefox atau Safari untuk menjelajah situs yang tidak dikenal pada komputer yang sedang menjalankan Ray.
  6. Karena eksploitasi sudah teramati di dunia nyata, periksa kemungkinan penyusupan: daftar pekerjaan (job) Ray yang tidak dikenal, proses yang tidak lazim, koneksi keluar yang mencurigakan, dan perubahan berkas.
  7. Laporkan indikasi penyusupan ke KUTIM-CSIRT melalui kanal pelaporan resmi.

Catatan Status Eksploitasi

CVE-2025-62593 tercatat dalam katalog KEV CISA sejak 17 Agustus 2026, sehingga eksploitasi aktif sudah dikonfirmasi. Instansi yang memakai Ray sebaiknya memperlakukan pembaruan ini sebagai prioritas tinggi, termasuk pada komputer pengembang yang sering dianggap tidak berisiko.

Referensi

Kembali ke Artikel