Rails opravil kritickú chybu pri spracovaní uploadov cez ImageMagick

Kritická chyba Rails v komponente Active Storage môže v zasiahnutých aplikáciách umožniť neautentifikovanému útočníkovi zapísať ľubovoľné súbory na server prostredníctvom upraveného uploadu. Projekt Rails zraniteľnosť eviduje pod označením GHSA-f3w6-w445-fwh9 a priradil jej skóre CVSS 9,8 z 10.

Opravy vyšli 4. novembra 2026 vo verziách Active Storage/Rails 8.0.5.2 a 8.1.4.1. Problém sa týka aplikácií, ktoré prijímajú nedôveryhodné súbory a pri ich spracovaní používajú ImageMagick bez účinnej politiky blokujúcej dotknuté codery.

Kritická chyba Rails pri analýze uploadu

Chyba sa nachádza v procese spracovania príloh cez Active Storage. Podľa bezpečnostného upozornenia môže škodlivo upravený súbor pri nahratí viesť k ľubovoľnému zápisu súborov na server. Na spustenie spracovania pritom nemusí byť potrebné vytvoriť náhľad ani variant obrázka; stačiť môže samotná analýza uploadu cez ImageMagick.

Rozsah možného dopadu závisí od konkrétnej konfigurácie. Ak aplikácia používa Active Storage Disk service, útočník by za určitých okolností mohol pristupovať aj k súborom čitateľným procesom aplikácie. Nejde však o univerzálne potvrdený dopad pre každú inštaláciu Rails: podstatné sú použité úložisko a oprávnenia procesu aplikácie.

Rails uvádza, že prístup k čitateľným súborom môže odhaliť aplikačné tajomstvá. Takáto expozícia môže následne slúžiť ako odrazový mostík k vzdialenému spusteniu kódu alebo laterálnemu pohybu v prostredí.

Koho sa problém týka

Riziko sa týka najmä prevádzkovateľov Rails aplikácií, ktoré umožňujú nahrávanie súborov používateľmi, spracúvajú ich cez ImageMagick a nemajú zavedenú účinnú ochrannú politiku ImageMagick. Správcovia majú preveriť aj používaný processor. Pri konfigurácii processor: :mini_magick vyžaduje dodaná bezpečnostná politika balík mini_magick vo verzii najmenej 5.1.

Projekt Rails spolu s opravami dodal aj bezpečnostnú politiku pre ImageMagick. Ak okamžitá aktualizácia nie je možná, odporúča sa nasadiť oficiálny workaround do systémovej politiky ImageMagick. Presný postup by mal vychádzať z oficiálneho bezpečnostného upozornenia a konfigurácie konkrétneho servera.

Odporúčaný postup pre správcov

• Aktualizovať Rails alebo Active Storage na verziu 8.0.5.2, prípadne 8.1.4.1.
• Overiť, či aplikácia prijíma uploady od nedôveryhodných používateľov a používa ImageMagick.
• Skontrolovať, či je nasadená účinná ImageMagick policy a pri variante :mini_magick aj požadovaná verzia závislosti.
• Ak existuje podozrenie na expozíciu, rotovať tajomstvá čitateľné procesom aplikácie.

Bezpečnostné upozornenie Rails zatiaľ neuvádza potvrdené zneužitie vo voľnej prírode. Zraniteľnosť tiež v čase vydania bezpečnostného upozornenia nemá pridelené CVE ID. Prevádzkovatelia by preto mali sledovať ďalšie informácie projektu Rails, najmä prípadné potvrdenie aktívneho zneužívania a doplnenie identifikátora CVE.

Overené a aktualizované: 04. 11. 2026 15:23