Rails Active Storage: פגיעות בציון 9.8 מאפשרת כתיבת קבצים בשרת דרך העלאת תמונה

צוות Rails פרסם עדכון אבטחה לפגיעות ב-Active Storage שמאפשרת לתוקף ללא אימות לכתוב קבצים שרירותיים בשרת, די בהעלאת קובץ מעוצב לאפליקציה שמעבדת תמונות עם ImageMagick.

מה קרה

הפגיעות מתרחשת כשהאפליקציה משתמשת ב-variant_processor = :mini_magick, מדיניות האבטחה של ImageMagick אינה חוסמת את הפורמטים הרלוונטיים, והאפליקציה מקבלת העלאות ממשתמשים לא מהימנים. ImageMagick בוחר מפענח לפי תוכן הקובץ, ומפענחים מסוימים פועלים על קבצים אחרים שמצוינים בתוך הקלט. לפי Rails, קובץ SVG הגיע למפענח MSL שקורא וכותב קבצים. צירוף הקובץ מספיק להפעלת הניתוח, בלי יצירת וריאנט או תצוגה מקדימה.

הגילוי יוחס לחוקר RyotaK מ-GMO Flatt Security. באותן גרסאות תוקנה גם פגיעות נוספת (GHSA-v924-7rp8-4mxh, ציון 8.8).

נקודות לשים לב

• שדרג ל-8.1.4.1 או 8.0.5.2; אפליקציות עם mini_magick דורשות גרסה 5.1 ומעלה, אחרת יהיה כשל באתחול.
• בדוק את מדיניות ImageMagick בשרת (policy.xml): כלל שמתיר מפענח, גם עם תו כללי, מבטל את החסימה שמגיעה עם Rails.
• אם אי אפשר לשדרג מיד, העתק את כללי policy.xml של Active Storage למדיניות המערכת וחסום לפחות את מפענח MSL, מפענחי Ghostscript וה-delegate gs.
• אם האפליקציה משתמשת בשירות Disk, Rails ממליצה לסובב את secret_key_base ואת כל הסודות שהתהליך יכול לקרוא.
• תמיכת האבטחה ב-Rails 8.0 מסתיימת ב-7 בנובמבר 2026.

מקורות: Rails Security Advisory · The Hacker News