注目★★★★★CISA KEV
Ray 2.52.0 未満に重大 RCE、DNS リバインディング攻撃で即パッチ推奨
30秒で把握
- 1Ray 2.52.0 未満に DNS リバインディング + ブラウザ User-Agent 改ざんで RCE 脆弱性 (CVE-2025-62593)
- 2Firefox / Safari で遠隔攻撃可能・マルバタイジング経由での悪用も想定・開発環境が対象
- 3CISA BOD 26-04 に基づき 8 月 20 日までに 2.52.0 へ更新・修正不可の場合は使用中止
要約
Ray プロジェクトは 2.52.0 未満のバージョンに、ブラウザベースの DNS リバインディング攻撃により遠隔コード実行 (RCE) を可能にする重大な脆弱性 (CVE-2025-62593) を含む。開発者が悪意あるウェブサイト訪問またはマルバタイジング経由で攻撃対象になる。脆弱性の原因は User-Agent ヘッダ「Mozilla」判定による不十分な防御にあり、Fetch API で User-Agent が改ざん可能なため、Firefox と Safari の両ブラウザで悪用される。バージョン 2.52.0 で修正済みで、CISA 既知悪用脆弱性カタログ登録により 2026 年 8 月 20 日が対応期限に指定されている。
あなたへの影響
Ray を開発環境で実行するチームは、すぐに 2.52.0 以上へ更新し、その後未検証のウェブサイト訪問時に Ray プロセスが起動したままでないか確認を推奨。
推奨：マルバタイジングや DNS 詐欺の可能性があるため、過去のアクセス履歴に対して不審な接続・外部通信がなかったか監査ログを確認すべき。