Lỗ hổng nghiêm trọng trong Rails cho phép ghi file server qua ImageMagick
"A critical vulnerability in Ruby on Rails' Active Storage component allows unauthenticated attackers to write arbitrary files to the server via crafted ImageMagick uploads. This is due to improper handling of ImageMagick coders, specifically the MSL coder, which can read and write files. The flaw is addressed in Rails versions 8.1.4.1 and 8.0.5.2."
Lỗ hổng cho phép ghi file tùy ý lên server, có thể dẫn đến lộ thông tin nhạy cảm hoặc chiếm quyền điều khiển server.
Các doanh nghiệp có thể gặp rủi ro về mất dữ liệu, gián đoạn dịch vụ, và thiệt hại uy tín nếu hệ thống bị tấn công.
Ruby on Rails vừa công bố một lỗ hổng bảo mật nghiêm trọng trong thành phần Active Storage, cho phép kẻ tấn công không xác thực ghi file tùy ý lên server thông qua việc tải lên file ImageMagick được tạo thủ công. Lỗ hổng này nằm ở cách xử lý các coder của ImageMagick, đặc biệt là MSL coder, có khả năng đọc và ghi file. Các phiên bản Rails 8.1.4.1 và 8.0.5.2 đã khắc phục sự cố này.
Với các kỹ sư và doanh nghiệp Việt Nam sử dụng Rails, việc này đặc biệt quan trọng vì Active Storage thường được dùng để quản lý tải lên file, và lỗ hổng có thể dẫn đến việc lộ thông tin nhạy cảm hoặc thậm chí là chiếm quyền điều khiển server.
Active Storage là thành phần của Rails xử lý tải lên file. Khi sử dụng Disk service, các file được lưu trực tiếp trên ổ cứng server. Kẻ tấn công có thể đọc bất kỳ file nào mà ứng dụng có quyền truy cập, bao gồm cả secret_key_base và thông tin đăng nhập của các hệ thống khác. Việc đọc được các file này có thể dẫn đến remote code execution hoặc lateral movement.
Rails đánh giá mức độ nghiêm trọng của lỗ hổng này là 9.8/10 theo thang điểm CVSS. Mã định danh của lỗ hổng là GHSA-f3w6-w445-fwh9, hiện chưa có CVE ID.
Lỗ hổng xảy ra do ImageMagick chọn coder dựa trên nội dung file. Một số coder hoạt động trên các file khác được chỉ định trong ảnh, thay vì trên chính ảnh đó. Active Storage không giới hạn coder nào được sử dụng, do đó chính sách bảo mật của ImageMagick trên server là yếu tố duy nhất ngăn chặn tấn công. MSL coder là một scripting coder có thể đọc và ghi file được chỉ định trong script.
Một chuỗi tấn công đã được báo cáo cho Rails, nhưng họ không loại trừ khả năng tồn tại các phương pháp tấn công khác. Lỗ hổng này được phát hiện bởi RyotaK, một nhà nghiên cứu bảo mật của GMO Flatt Security.
Ứng dụng Rails bị ảnh hưởng nếu đáp ứng đủ ba điều kiện: sử dụng ImageMagick cho xử lý ảnh (cài đặt config.active_storage.variant_processor = :mini_magick), chính sách bảo mật ImageMagick không chặn các coder liên quan, và chấp nhận tải lên file từ người dùng không tin cậy. Bạn có thể kiểm tra điều kiện đầu tiên bằng cách xem giá trị của config.active_storage.variant_processor.
Các phiên bản Active Storage trước 8.0.5.2 và các phiên bản 8.1 trước 8.1.4.1 đều bị ảnh hưởng. Các phiên bản Rails cũ hơn 8.0 sẽ không được vá lỗi nữa.
Câu hỏi thường gặp
Lỗ hổng này ảnh hưởng đến những ứng dụng Rails nào?
Ứng dụng bị ảnh hưởng nếu sử dụng ImageMagick cho xử lý ảnh (cài đặt config.active_storage.variant_processor = :mini_magick), chính sách bảo mật ImageMagick không chặn các coder liên quan, và chấp nhận tải lên file từ người dùng không tin cậy.
Cách khắc phục lỗ hổng này là gì?
Rails khuyến nghị nâng cấp lên phiên bản 8.1.4.1 hoặc 8.0.5.2. Các ứng dụng sử dụng :mini_magick cũng cần nâng cấp mini_magick lên phiên bản 5.1 trở lên.
Làm sao để kiểm tra xem ứng dụng đã tải chính sách bảo mật mới chưa?
Chạy lệnh bin/rails runner 'puts MiniMagick.identify { |i| i.list "policy" }' để xác minh rằng ứng dụng đang tải chính sách mới.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý đối với các doanh nghiệp Việt Nam sử dụng Rails để xây dựng các ứng dụng web xử lý tải lên file. Việc nâng cấp lên phiên bản Rails mới nhất là cần thiết để giảm thiểu rủi ro. Các doanh nghiệp nên kiểm tra cấu hình ImageMagick của họ để đảm bảo rằng chính sách bảo mật được cấu hình đúng cách. Điều đáng chú ý là lỗ hổng này khác với lỗ hổng CVE-2026-66066 được khắc phục vào tháng 7, ảnh hưởng đến các ứng dụng sử dụng libvips thay vì ImageMagick.