Lỗ hổng nghiêm trọng trong Rails cho phép ghi tệp tùy ý qua tải ảnh ImageMagick

Dự án Ruby on Rails vừa công bố một lỗ hổng nghiêm trọng trong Active Storage, thành phần xử lý tải tệp của Rails. Nếu ứng dụng xử lý ảnh tải lên bằng ImageMagick, kẻ tấn công chưa xác thực có thể ghi tệp tùy ý lên máy chủ. Lỗ hổng được đánh giá 9,8/10 theo thang CVSS, mã định danh GHSA-f3w6-w445-fwh9, chưa có mã CVE. Bản vá nằm trong Rails 8.1.4.1 và 8.0.5.2.

Cơ chế tấn công

ImageMagick chọn bộ xử lý định dạng (coder) dựa trên nội dung tệp. Một số coder lại thao tác trên các tệp khác được nêu tên bên trong ảnh, chứ không phải trên chính ảnh đó. Active Storage không giới hạn coder mà tệp tải lên được dùng, nên chính sách ImageMagick của máy chủ trở thành rào chắn duy nhất.

Bộ phân tích ImageMagick trong Active Storage chạy ngay khi tệp được đính kèm, không cần tạo biến thể ảnh hay gọi analyze. Theo commit vá lỗi, một tệp SVG tải lên đã chạm tới coder MSL của ImageMagick — loại coder dạng script có thể đọc và ghi các tệp được chỉ định trong script. Rails cho biết đã nhận báo cáo về một chuỗi tấn công nhưng không loại trừ khả năng còn chuỗi khác. Lỗ hổng do RyotaK, nhà nghiên cứu tại GMO Flatt Security, báo cáo qua HackerOne.

Với ứng dụng dùng Disk service của Active Storage, kẻ tấn công còn có thể đọc bất kỳ tệp nào ứng dụng đọc được, thường gồm secret_key_base và thông tin xác thực tới các hệ thống khác. Điều này có thể dẫn tới thực thi mã từ xa hoặc di chuyển ngang trong hệ thống.

Ứng dụng nào bị ảnh hưởng

Một ứng dụng chỉ bị ảnh hưởng khi thỏa cả ba điều kiện:

• Dùng ImageMagick để xử lý ảnh Active Storage, tức cấu hình config.active_storage.variant_processor = :mini_magick (mặc định với ứng dụng dùng load_defaults 6.1 trở về trước).
• Chính sách bảo mật ImageMagick chưa chặn các coder liên quan; Rails cho biết chính sách mặc định của Debian và Ubuntu không chặn.
• Nhận tải tệp từ người dùng không tin cậy.

Mọi phiên bản Active Storage trước 8.0.5.2 đều bị ảnh hưởng, tương tự các bản 8.1 trước 8.1.4.1. Các dòng phát hành cũ hơn 8.0 không còn được hỗ trợ và sẽ không có bản vá. Trước đó vào tháng 7, Rails đã vá một lỗ hổng Active Storage nghiêm trọng khác (CVE-2026-66066) ảnh hưởng ứng dụng dùng libvips thay vì ImageMagick.

Hai bản phát hành mới còn vá lỗ hổng thứ hai trong Active Storage, GHSA-v924-7rp8-4mxh, mức cao với điểm CVSS 8,8. Active Storage từng chuyển tệp tải lên cho ImageMagick và FFmpeg dưới tên tệp tạm giữ nguyên phần mở rộng gốc, khiến kẻ tấn công có thể chọn bộ giải mã được dùng.

Khuyến nghị xử lý

Rails khuyến nghị nâng cấp càng sớm càng tốt; hai bản phát hành vá tổng cộng 21 vấn đề bảo mật. Bản vá đi kèm chính sách bảo mật ImageMagick mới, chặn coder MSL, các coder đọc hoặc xóa tệp khác ngoài ảnh, coder truy xuất tham chiếu từ xa hoặc cục bộ, mọi coder dựa trên Ghostscript cùng delegate gs, và cơ chế @filename.

Ứng dụng dùng :mini_magick cần mini_magick 5.1 trở lên, nếu không sẽ báo lỗi khi khởi động. Rails 8.0 chỉ nhận bản vá bảo mật đến ngày 7/11/2026. Cần kiểm tra ứng dụng thực sự nạp chính sách mới bằng lệnh bin/rails runner 'puts MiniMagick.identify { |i| i.list "policy" }'.

Chính sách đi kèm không áp dụng nếu ứng dụng thay MiniMagick.cli_env sau khi khởi động, xóa biến môi trường bằng MiniMagick.cli_prefix, hoặc tự cài MiniMagick::Shell — khi đó phải đưa quy tắc vào chính sách hệ thống của ImageMagick. Ứng dụng dùng GraphicsMagick không được bảo vệ vì công cụ này không đọc chính sách ImageMagick. Cần rà lại policy.xml của máy chủ vì quy tắc cho phép coder, kể cả ký tự đại diện pattern="*", sẽ ghi đè chính sách mới.

Nếu chưa thể nâng cấp, có thể sao chép quy tắc từ tệp activestorage/lib/active_storage/image_magick/policy.xml vào chính sách hệ thống, tối thiểu chặn coder MSL, các coder Ghostscript và delegate gs. Với ứng dụng dùng Disk service, cần đổi secret_key_base và toàn bộ bí mật mà tiến trình ứng dụng đọc được, gồm master key, nội dung config/credentials.yml.enc, thông tin xác thực lưu trữ và cơ sở dữ liệu, cùng token bên thứ ba.

Nguồn: The Hacker News