Ray entrou no KEV: três dias exigem inventário por cluster e decisão de contenção

O sinal e os factos que mudam a decisão

A CISA adicionou CVE-2025-62593, uma vulnerabilidade de injeção de código no Ray, ao catálogo KEV em 17 de agosto com prazo de 20 de agosto. A janela curta muda a ordem: descobrir exposição e conter vem antes de produzir um relatório perfeito.

A presença no KEV confirma exploração conhecida e define ação e prazo no catálogo. O inventário deve incluir jobs temporários, imagens, notebooks, portas e control planes fora do CMDB.

A correção precisa ser combinada com pesquisa de sinais de abuso quando houve exposição. Clusters de laboratório e ML podem executar código e alcançar credenciais de cloud mesmo quando não são classificados como produção.

Decisão, limites e condição de bloqueio

Trate cada cluster Ray acessível por rede como prioridade até provar versão, configuração, autenticação, exposição e mitigação.

Clusters de laboratório e ML podem executar código e alcançar credenciais de cloud mesmo quando não são classificados como produção.

Execução e prova de conclusão

A execução deve começar por descobrir endpoints ray em cloud, clusters, dns, código e imagens. Depois, isolar acessos, aplicar orientação aplicável e preservar logs antes de alterar. O fecho exige procurar execução anómala, novas credenciais, processos e movimentos laterais.

Fechar com população, versão observada, exposição, ação aplicada, teste pós-correção e resultado da investigação por cluster.

• descobrir endpoints Ray em cloud, clusters, DNS, código e imagens.
• isolar acessos, aplicar orientação aplicável e preservar logs antes de alterar.
• procurar execução anómala, novas credenciais, processos e movimentos laterais.
• Fechar com população, versão observada, exposição, ação aplicada, teste pós-correção e resultado da investigação por cluster.