CVE-2023-48022: RCE in Job Submission API di Ray

CVE-2023-48022 è una vulnerabilità di esecuzione codice remoto (RCE) in Anyscale Ray versioni 2.6.3 e 2.8.0, scoperta tramite l'API di sottomissione job. Un attaccante remoto può eseguire codice arbitrario senza autenticazione se Ray è accessibile da una rete non controllata. Secondo la documentazione ufficiale, Ray è concepito esclusivamente per ambienti strettamente controllati; il vendor dichiara che la falla non è critica se usato come previsto. Tuttavia, il segnale GitHub di ottobre 2026 suggerisce interesse continuato e possibile disponibilità pubblica di exploit.

Il CVSS score di 9,8 (Critical) riflette il rischio teorico massimo: assenza di autenticazione e accesso completo al sistema. La falla è stata resa pubblica il 28 novembre 2023 ed è quindi nota da oltre due anni. Lo stato di mitigazione è misto: dai 2.52.0+ è disponibile token authentication configurabile dall'utente, ma non è abilitato per default in tutte le versioni. I segnali GitHub odierni indicano che exploit o PoC continuano a circolare; non sono confermati attacchi in wild, ma la vulnerabilità rimane rilevante per chi mantiene Ray in ambienti aperti per errore.

I difensori devono verificare immediatamente se Ray è installato e accessibile da reti non controllate. Se presente, le azioni sono chiare: aggiornare a versione 2.52.0 o successiva e, per versioni intermedie, abilitare token authentication. Parallelamente, consultare Anyscale per comprendere se il vostro use case rientra negli ambienti controllati previsti: Ray è uno strumento di distributed computing, non un servizio Internet-facing. Monitorare le reti interne per accesso alla job submission API; se esposto accidentalmente, isolarlo immediatamente.