В Active Storage — компоненте Ruby on Rails для работы с вложениями — исправили критическую уязвимость GHSA-f3w6-w445-fwh9. Специально подготовленный файл может позволить злоумышленнику записывать файлы на сервер. При хранении вложений через Disk service возможно и чтение файлов, доступных процессу приложения, в том числе ключей и паролей.
Для атаки должны совпасть три условия: приложение принимает загрузки от недоверенных пользователей, использует ImageMagick через MiniMagick и работает с недостаточно строгой политикой безопасности ImageMagick. Обработка запускается при прикреплении файла. Отдельно создавать миниатюру не требуется.
Исправления вышли 4 ноября в Active Storage 8.1.4.1 и 8.0.5.2. Они добавляют ограничивающую политику ImageMagick. При использовании MiniMagick нужна версия 5.1 или новее. С более старой версией приложение после обновления Active Storage выдаст ошибку при запуске.
Разработчики также рекомендуют пользователям Disk service сменить ключи, пароли и другие секретные данные, которые мог прочитать процесс приложения. Перед обновлением стоит проверить обработку PDF и PostScript: новая политика ограничивает эти возможности ImageMagick. При нестандартной конфигурации MiniMagick или использовании GraphicsMagick нужно отдельно проверить ограничения, указанные в бюллетене. Бюллетень Rails
#TECH #SECURITY
@digitaltimeslv
digital times
🟦
Original in Telegram: https://t.me/digitaltimeslv/11342