Ruby on Rails libera patches para riscos de leitura e gravação de arquivos
As versões 8.0.5.2 e 8.1.4.1, publicadas em 4 de novembro, reúnem correções para 21 problemas de segurança.
Redação ·
Uma falha crítica no Active Storage pode permitir que alguém sem autenticação grave arquivos no servidor de aplicações Ruby on Rails. O projeto publicou correções em 4 de novembro, nas versões 8.0.5.2 e 8.1.4.1; administradores devem atualizar os sistemas vulneráveis e, em alguns casos, trocar credenciais que podem ter sido expostas.
O problema mais grave, identificado pelo aviso GHSA-f3w6-w445-fwh9, afeta aplicações que processam imagens com ImageMagick e aceitam arquivos enviados por usuários não confiáveis. Segundo o aviso oficial do Rails, anexar uma imagem preparada para explorar a falha já pode acionar o processamento — não é necessário pedir uma prévia ou variante do arquivo.
A vulnerabilidade pode permitir gravação arbitrária de arquivos e, quando os anexos ficam no serviço Disk do Active Storage, leitura de arquivos acessíveis ao processo da aplicação. Entre os dados que podem estar ao alcance estão secret_key_base, credenciais de serviços externos, chaves e informações de configuração. O aviso classifica o risco como crítico e informa que as versões corrigidas incluem uma política de segurança mais restritiva para o ImageMagick.
Quem precisa agir agora
A orientação é atualizar para Rails 8.0.5.2 ou 8.1.4.1, conforme a linha usada. O aviso detalha que são afetadas versões do Active Storage anteriores à 8.0.5.2 e, na série 8.1, anteriores à 8.1.4.1. A exposição também depende da configuração do ImageMagick e de uploads de usuários não confiáveis; aplicações com regras de segurança próprias precisam conferir se elas bloqueiam os recursos exploráveis.
Para instalações que guardam anexos no serviço Disk, os mantenedores recomendam substituir secret_key_base e todos os segredos acessíveis ao processo, incluindo credenciais de banco de dados, chaves mestras e tokens de terceiros. A troca importa porque instalar o patch impede novas tentativas por essa via, mas não invalida credenciais que possam já ter sido lidas.
O pacote corrige outros problemas também
As duas versões de segurança tratam de 21 vulnerabilidades no conjunto do Rails. Entre elas há outro problema no Active Storage, relacionado ao processamento de vídeos e imagens, além de riscos em componentes como Action View e Action Pack. Esse segundo aviso é separado da falha crítica de gravação de arquivos e não deve ser confundido com ela.
Os mantenedores recomendam atualizar o quanto antes. A correção não é só para quem viu sinais de ataque: a falha pode ser acionada por um upload especialmente preparado, e o projeto não afirma que a exploração já tenha ocorrido em uma instalação específica.
Quer se aprofundar nesta notícia? Leia mais sobre ela abaixo: