localhost なら安全、ではない — Ray CVE-2025-62593 と DNS リバインディング

サーバの脆弱性は、たいてい「外に公開しているから危ない」という形をしている。だから対策も「公開範囲を絞る」で通じることが多い。

Ray の CVE-2025-62593 は、その直感が効かない側の脆弱性である。狙われるのは本番のクラスタではなく、手元で ray を立ち上げたまま Web を見ている開発者の端末だ。しかも待ち受けが localhost だけでも成立する。

CISA の KEV（既知の悪用された脆弱性カタログ）に 2026-08-17 に収載され、是正期限は 2026-08-20。猶予は3日しかない。

この記事では、なぜ localhost が安全にならないのかを仕組みから読み解き、最後に自分の環境が該当するかを依存なしで判定するスクリプトを置く。

何が起きるのか

影響を受けるのは Ray 2.52.0 より前のすべてのバージョン、修正版は 2.52.0 である。NVD の CPE も versionEndExcluding: 2.52.0 になっている。

Ray はブラウザ由来の攻撃を防ぐため、リクエストの User-Agent ヘッダが文字列 Mozilla で始まるかどうかを見ていた。ブラウザからのリクエストなら弾く、という発想である。

この防御が成り立たない理由は1行で書ける。fetch の仕様では User-Agent を書き換えられる。 つまり攻撃者のページから Mozilla で始まらない User-Agent を付けたリクエストを出せば、この検査は素通りする。

ここに DNS リバインディングが組み合わさる。

なぜ localhost でも届くのか

DNS リバインディングは、ブラウザの同一オリジンポリシーを名前解決の側から迂回する古典的な手口である。手順はこうなる。

  1. 被害者が攻撃者のページ http://attacker.example を開く。この時点で attacker.example は攻撃者のサーバの IP を指している。
  2. その DNS レコードの TTL は極端に短く設定されている。
  3. ページ内の JavaScript がしばらく待つ。その間に攻撃者は attacker.example の A レコードを 127.0.0.1 に差し替える。
  4. 同じページから http://attacker.example:8265/... へリクエストを出す。ブラウザから見ればオリジンは変わっていないので同一オリジンポリシーには引っかからない。しかし実際の接続先は被害者自身の localhost である。

ここで要点になるのが、ファイアウォールでは止まらないということだ。パケットは外から入ってくるのではなく、被害者の端末の中で完結している。「Ray を localhost にしか bind していないから外からは触れない」という前提が、この手口の前では成立しない。

被害者側に必要な操作は「悪意あるページを開く」だけである。不正広告（マルバタイジング）を経由すれば、閲覧していたのが普通のサイトでも成立しうる。NVD の CVSS 3.1 が UI:R、CNA（GitHub）の CVSS 4.0 が UI:P（Passive）になっているのは、この「能動的な操作を要さない」性質を反映している。

CVSS の評価は分かれている。

評価元 バージョン スコア 深刻度
NVD（Primary） CVSS 3.1 8.8 High
GitHub Security Advisories（CNA） CVSS 4.0 9.4 Critical

差の中心は利用者の関与の重み付けで、攻撃像そのものは一致している。CWE は CWE-94（コードインジェクション） と CWE-352（CSRF） の2つが割り当てられている。

資産管理台帳では見つからない

対応で最初につまずくのはここである。「本番に Ray クラスタは無いので対象外」と結論すると外す。この脆弱性の主戦場は開発者の端末だからだ。

確認すべきなのは次の2点になる。

  1. 開発端末に入っている Ray のバージョンが 2.52.0 未満か
  2. Ray の待ち受けが動いていないか（localhost であっても）

1 が厄介なのは、Ray が venv や conda 環境ごとに入る Python パッケージだという点である。pip show ray を1回叩いて終わりにすると、別の仮想環境に古い Ray が残る。ディストリのセキュリティ更新でも上がらない。

判定スクリプト

外部ライブラリを使わず、標準ライブラリだけで動く。ホームディレクトリ以下の仮想環境を走査して、ray の dist-info からバージョンを読み、2.52.0 と比較する。あわせて Ray が使いがちなポートの待ち受けも見る。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
#!/usr/bin/env python3
"""Ray CVE-2025-62593 (fixed in 2.52.0) の該当有無を判定する。標準ライブラリのみ。"""
import os
import re
import socket
import sys
from pathlib import Path

FIXED = (2, 52, 0)
# Ray のダッシュボード/GCS が使う代表的なポート
PORTS = (8265, 10001, 6379, 8000)


def parse_version(text):
    """'2.51.1' や '2.9.0rc1' を比較可能なタプルにする。数値部分だけを見る。"""
    nums = re.findall(r"\d+", text)
    return tuple(int(n) for n in nums[:3]) + (0,) * (3 - len(nums[:3]))


def find_ray_installs(root):
    """<env>/lib/pythonX.Y/site-packages/ray-<ver>.dist-info を探す。"""
    found = []
    for dist in root.rglob("ray-*.dist-info"):
        m = re.match(r"ray-([0-9][^-]*)\.dist-info$", dist.name)
        if not m:
            continue
        # site-packages の2つ上が仮想環境のルートに当たることが多い
        env = dist.parent.parent.parent.parent
        found.append((str(env), m.group(1)))
    return found


def listening(port):
    with socket.socket(socket.AF_INET, socket.SOCK_STREAM) as s:
        s.settimeout(0.3)
        return s.connect_ex(("127.0.0.1", port)) == 0


def main():
    root = Path(sys.argv[1]) if len(sys.argv) > 1 else Path.home()
    installs = find_ray_installs(root)

    if not installs:
        print(f"[ok] {root} 以下に Ray の導入は見つかりませんでした")
    vulnerable = 0
    for env, ver in sorted(installs):
        mark = "VULNERABLE" if parse_version(ver) < FIXED else "ok"
        if mark == "VULNERABLE":
            vulnerable += 1
        print(f"[{mark}] ray {ver}  ({env})")

    for port in PORTS:
        if listening(port):
            print(f"[listening] 127.0.0.1:{port} が待ち受け中です")

    print()
    if vulnerable:
        print(f"該当 {vulnerable} 件。pip install --upgrade 'ray>=2.52.0' で更新してください。")
        return 1
    print("2.52.0 未満の Ray は見つかりませんでした。")
    return 0


if __name__ == "__main__":
    sys.exit(main())

実行する。

1
2
3
python3 check_ray_cve_2025_62593.py
# 走査範囲を絞りたいとき
python3 check_ray_cve_2025_62593.py ~/work

出力はこうなる。

1
2
3
4
5
[VULNERABLE] ray 2.44.1  (/Users/you/work/rag-poc/.venv)
[ok] ray 2.52.0  (/Users/you/work/train/.venv)
[listening] 127.0.0.1:8265 が待ち受け中です

該当 1 件。pip install --upgrade 'ray>=2.52.0' で更新してください。

[listening] が出た場合、そのポートは DNS リバインディングの到達先になりうる。localhost だから安全という判断はしないこと。

補足を2つ。dist-info を見ているのは、import ray せずにバージョンを読むためである。壊れた環境や別アーキテクチャ向けの環境でも落ちない。またポート判定は TCP 接続の可否だけを見ているので、Ray 以外のプロセスが同じポートを使っていれば当然そちらも拾う。ポート番号は環境で変わるため、ray start の引数に合わせて PORTS を調整してほしい。

対応

恒久対策は 2.52.0 以降への更新の一本である。User-Agent に依存した旧来の防御に戻す選択肢は無い。

1
2
pip install --upgrade 'ray>=2.52.0'
ray --version

すぐに更新できない場合の緩和は、いずれも「悪意あるページを踏む確率を下げる」方向のもので、脆弱性自体は残る点を理解して運用する。

  • 作業していないときは Ray のプロセスを落とす
  • 開発用のブラウザと日常のブラウジングを分ける
  • Ray を動かす端末で広告の表示を抑える

そして、更新前に開発者が任意の Web を閲覧していた端末は、侵害を前提に点検する。KEV に載っているということは、実際に悪用が確認されているという意味である。見るべきは次のあたりになる。

  • Ray のワーカープロセスから起動された想定外の子プロセス
  • シェル履歴と対応しないネットワーク接続
  • 端末に置かれたクラウド資格情報（~/.aws/credentials、gcloud の ADC、~/.kube/config）へのアクセス痕跡

開発端末は本番への鍵を持っていることが多い。端末側の RCE が、そのまま本番の資格情報の流出になる。点検して終わりではなく、該当端末に置かれていた資格情報は再発行するところまでが完了条件である。

まとめ

  • 影響は Ray 2.52.0 未満のすべて。修正版は 2.52.0
  • 防御が User-Agent の先頭一致だったため、fetch から迂回できた
  • DNS リバインディングと組み合わさるので、localhost 限定の待ち受けでも到達する
  • ファイアウォールでは止まらない。更新以外に恒久対策は無い
  • KEV 収載 2026-08-17、是正期限 2026-08-20

CVE の一次情報と各クラウドでの対応状況は CVE Watch にまとめている。

AI・機械学習
#Python #セキュリティ #CVE #脆弱性対応 #Ray #DNS リバインディング
localhost なら安全、ではない — Ray CVE-2025-62593 と DNS リバインディング
https://blog.hashito.biz/2026/08/18/ray-cve-2025-62593-dns-rebinding-localhost-rce/
著者
hashito
作成日
2026年8月18日
著作権