Các tổ chức sử dụng Ray, framework nguồn mở để mở rộng khối lượng công việc trí tuệ nhân tạo và máy học, có thể bị tấn công thông qua bộ ba lỗ hổng chưa được vá trong công nghệ, các nhà nghiên cứu cho biết trong tuần này.
Có thể gây thiệt hại nặng nề
Các lỗ hổng này cung cấp cho kẻ tấn công một cách để giành quyền truy cập hệ điều hành vào tất cả các nút trong cụm Ray, cho phép thực thi mã từ xa và nâng cấp đặc quyền. Các lỗ hổng này gây ra mối đe dọa cho các tổ chức đưa phiên bản Ray của họ ra Internet hoặc thậm chí là mạng cục bộ.
Các nhà nghiên cứu từ Bishop Fox đã phát hiện ra các lỗ hổng và báo cáo chúng với Anyscale – nơi bán phiên bản công nghệ được quản lý hoàn toàn – vào tháng XNUMX. Các nhà nghiên cứu từ nhà cung cấp bảo mật Protect AI cũng đã báo cáo riêng hai lỗ hổng tương tự cho Anyscale trước đây.
Nhưng cho đến nay, Anyscale vẫn chưa giải quyết được các sai sót, Berenice Flores Garcia, cố vấn bảo mật cấp cao tại Bishop Fox cho biết. Garcia nói: “Quan điểm của họ là các lỗ hổng không liên quan vì Ray không được thiết kế để sử dụng bên ngoài môi trường mạng được kiểm soát chặt chẽ và tuyên bố đã nêu điều này trong tài liệu của họ”.
Anyscale đã không trả lời ngay lập tức yêu cầu bình luận của Dark Reading.
Ray là một công nghệ mà các tổ chức có thể sử dụng để phân phối việc thực thi AI phức tạp, chuyên sâu về cơ sở hạ tầng và khối lượng công việc học máy. Nhiều tổ chức lớn (bao gồm OpenAI, Spotify, Uber, Netflix và Instacart) hiện đang sử dụng công nghệ này để xây dựng các ứng dụng AI và máy học mới có thể mở rộng. của Amazon AWS đã tích hợp Ray vào nhiều dịch vụ đám mây của mình và định vị nó là công nghệ mà các tổ chức có thể sử dụng để tăng tốc độ mở rộng quy mô ứng dụng AI và ML.
Dễ dàng tìm thấy và khai thác
Các lỗ hổng mà Bishop Fox đã báo cáo cho Anyscale liên quan đến việc xác thực và xác thực đầu vào không đúng cách trong Ray Dashboard, Ray Client và các thành phần tiềm năng khác. Các lỗ hổng ảnh hưởng đến phiên bản Ray 2.6.3 và 2.8.0, đồng thời cho phép kẻ tấn công lấy được bất kỳ dữ liệu, tập lệnh hoặc tệp nào được lưu trữ trong cụm Ray. Bishop Fox cho biết trong báo cáo của mình: “Nếu khung Ray được cài đặt trên đám mây (tức là AWS), thì có thể truy xuất thông tin xác thực IAM có đặc quyền cao cho phép leo thang đặc quyền”.
Ba lỗ hổng mà Bishop Fox đã báo cáo cho Anyscale là CVE-2023-48023, lỗ hổng thực thi mã từ xa (RCE) liên quan đến việc thiếu xác thực cho một chức năng quan trọng; CVE-2023-48022, lỗ hổng giả mạo yêu cầu phía máy chủ trong API Bảng điều khiển Ray kích hoạt RCE; Và CVE-2023-6021, lỗi xác thực đầu vào không an toàn cũng cho phép kẻ tấn công từ xa thực thi mã độc trên hệ thống bị ảnh hưởng.
Báo cáo của Bishop Fox về ba lỗ hổng bao gồm chi tiết về cách kẻ tấn công có thể khai thác các lỗ hổng để thực thi mã tùy ý.
Garcia cho biết các lỗ hổng rất dễ khai thác và những kẻ tấn công không yêu cầu kỹ năng kỹ thuật cao để tận dụng chúng. Cô nói: “Kẻ tấn công chỉ yêu cầu quyền truy cập từ xa vào các cổng thành phần dễ bị tấn công - cổng 8265 và 10001 theo mặc định - từ Internet hoặc từ mạng cục bộ” và một số kiến thức cơ bản về Python.
“Các thành phần dễ bị tấn công rất dễ tìm thấy nếu giao diện người dùng Bảng điều khiển Ray bị lộ. Đây là cánh cổng để khai thác ba lỗ hổng có trong khuyến cáo”, bà nói thêm. Theo Garcia, nếu không phát hiện được Bảng điều khiển Ray, thì sẽ cần phải có dấu vân tay cụ thể hơn của các cổng dịch vụ để xác định các cổng dễ bị tổn thương. Garcia cho biết: “Sau khi xác định được các thành phần dễ bị tổn thương, chúng sẽ rất dễ bị khai thác theo các bước trong lời khuyên”.
Lời khuyên của Bishop Fox cho thấy cách kẻ tấn công có thể khai thác các lỗ hổng để lấy khóa riêng và thông tin xác thực đặc quyền cao từ tài khoản đám mây AWS nơi Ray được cài đặt. Nhưng những sai sót này ảnh hưởng đến tất cả các tổ chức đưa phần mềm lên Internet hoặc mạng cục bộ.
Môi trường mạng được kiểm soát
Mặc dù Anycase không phản hồi với Dark Reading, tài liệu của công ty nêu rõ sự cần thiết của các tổ chức trong việc triển khai cụm Ray trong môi trường mạng được kiểm soát. “Ray hy vọng sẽ chạy trong môi trường mạng an toàn và hoạt động dựa trên mã đáng tin cậy,” tài liệu nêu rõ. Nó đề cập đến sự cần thiết của các tổ chức để đảm bảo rằng lưu lượng mạng giữa các thành phần Ray diễn ra trong một môi trường biệt lập và phải có các cơ chế xác thực và kiểm soát mạng nghiêm ngặt khi truy cập các dịch vụ bổ sung.
Công ty lưu ý: “Ray thực thi một cách trung thực mã được chuyển đến nó - Ray không phân biệt giữa thử nghiệm điều chỉnh, cài đặt rootkit hay kiểm tra bộ chứa S3”. “Các nhà phát triển Ray chịu trách nhiệm xây dựng các ứng dụng của họ với sự hiểu biết này.”
- Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
- PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
- PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
- Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
- PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
- nguồn: https://www.darkreading.com/vulnerabilities-threats/researchers-discover-trio-of-critical-vulns-in-ray-open-source-framework-for-scaling-ai-ml-workloads
- : có
- :là
- :không phải
- :Ở đâu
- 7
- 8
- a
- đẩy nhanh tiến độ
- truy cập
- truy cập
- Theo
- Tài khoản
- Hành động
- thêm vào
- giải quyết
- Thêm
- Lợi thế
- cố vấn
- ảnh hưởng đến
- bị ảnh hưởng
- AI
- AI / ML
- Tất cả
- cho phép
- Ngoài ra
- đàn bà gan dạ
- trong số
- an
- và
- bất kì
- api
- các ứng dụng
- ứng dụng
- LÀ
- nhân tạo
- trí tuệ nhân tạo
- Trí tuệ nhân tạo và học máy
- AS
- At
- Các cuộc tấn công
- Tháng Tám
- Xác thực
- AWS
- cơ bản
- BE
- bởi vì
- giữa
- Xây dựng
- nhưng
- by
- CAN
- tuyên bố
- khách hàng
- đám mây
- dịch vụ điện toán đám mây
- cụm
- mã
- bình luận
- công ty
- phức tạp
- thành phần
- các thành phần
- chuyên gia tư vấn
- kiểm soát
- điều khiển
- có thể
- Credentials
- quan trọng
- Hiện nay
- cve
- tối
- Đọc tối
- bảng điều khiển
- dữ liệu
- Mặc định
- triển khai
- chi tiết
- phát hiện
- phát triển
- ĐÃ LÀM
- phân biệt
- do
- tài liệu hướng dẫn
- Không
- e
- dễ dàng
- cho phép
- cho phép
- đảm bảo
- Môi trường
- lôi
- leo thang
- leo thang
- Ngay cả
- thi hành
- Thi công
- thực hiện
- kỳ vọng
- thử nghiệm
- Khai thác
- tiếp xúc
- xa
- Các tập tin
- Tìm kiếm
- dấu vân tay
- sai sót
- tiếp theo
- Trong
- sự giả mạo
- tìm thấy
- fox
- Khung
- từ
- đầy đủ
- chức năng
- Thu được
- cửa khẩu
- Cho
- xảy ra
- Có
- nặng
- Cao
- cao
- Độ đáng tin của
- HTML
- HTTPS
- i
- xác định
- xác định
- if
- ngay
- in
- bao gồm
- Bao gồm
- đầu vào
- không an toàn
- instacart
- cài đặt, dựng lên
- cài đặt
- tích hợp
- Sự thông minh
- dự định
- Internet
- trong
- bị cô lập
- IT
- ITS
- jpg
- Key
- kiến thức
- lớn
- học tập
- Cấp
- địa phương
- máy
- học máy
- quản lý
- nhiều
- cơ chế
- đề cập đến
- tâm
- mất tích
- ML
- chi tiết
- Cần
- Netflix
- mạng
- lưu lượng mạng
- Mới
- nắm tay
- các nút
- lưu ý
- được
- of
- on
- hàng loạt
- có thể
- mở
- mã nguồn mở
- OpenAI
- hoạt động
- hệ điều hành
- or
- tổ chức
- Nền tảng khác
- bên ngoài
- thông qua
- plato
- Thông tin dữ liệu Plato
- PlatoDữ liệu
- cổng
- vị trí
- định vị
- có thể
- có khả năng
- trình bày
- trước đây
- riêng
- Key Private
- đặc quyền
- đặc quyền đặc lợi
- đặc quyền
- bảo vệ
- Python
- RAY
- Reading
- xa
- truy cập từ xa
- báo cáo
- Báo cáo
- yêu cầu
- yêu cầu
- cần phải
- đòi hỏi
- nhà nghiên cứu
- Trả lời
- chịu trách nhiệm
- chạy
- s
- an toàn
- Nói
- tương tự
- nói
- khả năng mở rộng
- mở rộng quy mô
- kịch bản
- an ninh
- Bán
- cao cấp
- dịch vụ
- DỊCH VỤ
- chị ấy
- Chương trình
- kỹ năng
- So
- cho đến nay
- Phần mềm
- một số
- nguồn
- riêng
- Spotify
- quy định
- Bang
- Các bước
- lưu trữ
- Nghiêm ngặt
- hệ thống
- Hãy
- Kỹ thuật
- kĩ năng công nghệ
- Công nghệ
- việc này
- Sản phẩm
- cung cấp their dịch
- Them
- họ
- điều
- điều này
- tuần này
- mối đe dọa
- số ba
- Bị ràng buộc
- đến
- giao thông
- ba
- đáng tin cậy
- điều chỉnh
- hai
- Uber
- ui
- sự hiểu biết
- trên
- sử dụng
- sử dụng
- xác nhận
- nhà cung cấp
- phiên bản
- phiên bản
- rất
- thông qua
- Lỗ hổng
- dễ bị tổn thương
- Dễ bị tổn thương
- Đường..
- tuần
- khi nào
- cái nào
- với
- sẽ
- nhưng
- zephyrnet