Разработчики Ruby on Rails устранили опасную ошибку в Active Storage, которая позволяет записывать файлы в произвольные места на сервере без авторизации. Уязвимость GHSA-f3w6-w445-fwh9 затрагивает приложения, принимающие изображения от посторонних пользователей. При определённых условиях атакующий также может получить доступ к конфиденциальным данным.
Проблема связана с ImageMagick и обработчиком MSL. Специально подготовленный SVG-файл запускает операции чтения и записи уже при загрузке вложения, даже без создания миниатюр. При локальном хранении файлов через Active Storage Disk под угрозой оказываются ключи шифрования, пароли баз данных и токены сервисов. Штатные настройки Debian и Ubuntu не блокируют опасный механизм.
Для защиты приложений разработчики выпустили Rails 8.0.5.2 и 8.1.4.1, а также рекомендуют использовать mini_magick 5.1 или новее. Всего новые версии закрывают 21 проблему безопасности. Если сервер принимал недоверенные файлы и использовал Active Storage Disk, после обновления потребуется сменить потенциально раскрытые ключи и пароли. Подтверждённых случаев эксплуатации новой уязвимости пока нет.
