פגיעות קריטית ב-Rails Active Storage מנוצלת בפועל; התיקון הרשמי לא שלם

פגיעות קריטית ברכיב Active Storage של מסגרת הפיתוח Ruby on Rails, המכונה KindaRails2Shell, מנוצלת בפועל נגד אתרים ואפליקציות שמקבלים העלאת תמונות ממשתמשים לא מאומתים. לפי חוקרי VulnCheck, גם חלק מהשרתים שכבר עודכנו לגרסה המתוקנת נשארים חשופים לנתיב תקיפה נוסף שהתיקון הרשמי לא סגר.

מה קרה

הפגיעות נמצאת באופן שבו Active Storage מייצר גרסאות (variants) לתמונות שהועלו, כשמעבד התמונות libvips מוגדר כברירת מחדל. תוקף שמעלה קובץ תמונה מיוחד יכול לגרום למעבד לבצע פעולה לא מאובטחת שמאפשרת קריאת קבצים שרירותיים מהשרת — ובכלל זה משתני סביבה המכילים את מפתח החתימה הסודי (secret_key_base) של האפליקציה. עם המפתח הזה תוקף יכול לזייף עוגיות הפעלה ונתונים סדוריים, וזה למעשה פותח את הדלת להרצת קוד מרחוק על השרת — בלי צורך בהזדהות מוקדמת.

מפתחי Rails פרסמו תיקון כבר בסוף יולי 2026, אך לפי ניתוח של VulnCheck התיקון סוגר רק את נתיב קריאת הקבצים דרך libvips. נתיב נפרד, המבוסס על דה-סריאליזציה מסוג Marshal של מפתח הגרסה (variation key), עדיין מאפשר הרצת קוד גם על שרת מעודכן — בתנאי שלתוקף יש כבר חתימה תקפה. לפי VulnCheck, כ-7,000 שרתי Rails חשופים זוהו ברשת נכון לתחילת אוגוסט.

נקודות לשים לב

• אם האפליקציה שלך מריצה Rails עם Active Storage ומקבלת העלאת תמונות ממשתמשים — עדכן ל-7.2.3.2, 8.0.5.1 או 8.1.3.1 בהתאם, בלי לחכות.
• עדכון בלבד לא מספיק: מכיוון שהנתיב דרך דה-סריאליזציית Marshal עדיין פתוח, מומלץ להחליף (rotate) את מפתח secret_key_base אחרי העדכון — כך חתימות ישנות שדלפו הופכות לחסרות ערך.
• אם אי אפשר לעדכן מיד: שקול מעבר זמני למעבד ImageMagick במקום libvips — אפליקציות שמוגדרות כך אינן חשופות לוקטור הזה.
• בדוק לוגים לניסיונות העלאת קבצים חריגים או כשלים בעיבוד תמונות סביב נקודות הקצה של Active Storage — אלו סימנים אפשריים לניסיון ניצול.
• אין תיקון רשמי מלא עדיין לנתיב השני; עקוב אחרי עדכוני אבטחה נוספים של Rails בנושא הזה בשבועות הקרובים.

מקורות: SecurityWeek · Rapid7