Rails zakrpe kritičan propust pri obradi ImageMagick otpremanja
Ruby on Rails je objavio ispravke 8.1.4.1 i 8.0.5.2 za kritičnu ranjivost u Active Storage komponenti, ocenjenoj sa 9,8 od 10 po CVSS skali. Neautentifikovani napadač može da upiše proizvoljne fajlove na aplikacioni server slanjem posebno pripremljenog fajla, kada aplikacija za obradu otpremanja koristi ImageMagick. Propust se prati kao GHSA-f3w6-w445-fwh9 i nema dodeljen CVE identifikator.
Rizik je naročito izražen kada Active Storage koristi Disk servis. U toj konfiguraciji napadač bi mogao da pročita fajlove koje može da pročita i sam proces aplikacije, uključujući secret_key_base i pristupne podatke za druge sisteme. Rails navodi da takav pristup može otvoriti put ka udaljenom izvršavanju koda ili bočnom kretanju kroz povezane sisteme.
Kako se aktivira propust
ImageMagick bira obrađivač formata, takozvani koder, na osnovu sadržaja fajla. Pojedini koderi ne obrađuju samo sliku, već pristupaju drugim fajlovima navedenim unutar nje. Active Storage ranije nije ograničavao koje kodere otpremljeni sadržaj može da aktivira, pa je zaštita zavisila od lokalne ImageMagick politike na serveru.
Analizator ImageMagicka pokreće se čim se fajl prikači uz zapis u aplikaciji. Zato za napad nije potrebno stvarati transformisanu varijantu slike, pregled niti posebno pozivati analizu. Ispravka je nastala nakon slučaja u kojem je otpremljeni SVG aktivirao MSL koder; MSL je skriptni koder koji može da čita i upisuje fajlove navedene u skripti.
Ko treba da reaguje
Pogođene su aplikacije koje istovremeno primaju fajlove od nepouzdanih korisnika, koriste ImageMagick za Active Storage obradu i nemaju postojeću politiku koja blokira uključene kodere. To se tipično odnosi na podešavanje config.active_storage.variant_processor = :mini_magick, podrazumevano za aplikacije sa load_defaults 6.1 ili starijim. Ako podešavanje nije eksplicitno navedeno, podrazumevani izbor je :mini_magick pre verzije 7.0, a :vips od verzije 7.0.
Sve Active Storage verzije pre 8.0.5.2, kao i grana 8.1 pre 8.1.4.1, zahvaćene su ovim propustom. Serije starije od 8.0 više nisu podržane i za njih neće biti objavljene posebne ispravke. Iste Rails verzije popravljaju i GHSA-v924-7rp8-4mxh, ranjivost visoke ozbiljnosti sa CVSS ocenom 8,8, povezanu sa izborom dekodera na osnovu ekstenzije privremenog fajla pri radu sa ImageMagickom i FFmpegom.
Ažuriranje i provera zaštite
Prioritet je nadogradnja na Rails 8.1.4.1 ili 8.0.5.2. Aplikacijama koje koriste :mini_magick potreban je i mini_magick 5.1 ili noviji, u suprotnom mogu prijaviti grešku pri pokretanju. Isporučena politika blokira MSL, kodere koji čitaju ili brišu fajlove izvan slike, kodere za lokalne i udaljene reference, Ghostscript kodere i gs delegat, kao i @filename indirekciju.
Timovi treba da potvrde da aplikacija zaista učitava novu politiku. Za proveru se može izvršiti komanda bin/rails runner 'puts MiniMagick.identify { |i| i.list "policy" }'. Zaštita ne važi ako aplikacija nakon pokretanja menja MiniMagick.cli_env, briše okruženje preko MiniMagick.cli_prefix ili koristi sopstveni MiniMagick::Shell; tada pravila moraju biti u sistemskoj ImageMagick politici. GraphicsMagick ne čita ImageMagick politike, pa isporučena zaštita ne pokriva takve instalacije.
Ako nadogradnja trenutno nije moguća, Rails preporučuje kopiranje pravila iz fajla activestorage/lib/active_storage/image_magick/policy.xml u sistemsku politiku, na primer /etc/ImageMagick-7/policy.xml. Najmanje treba blokirati MSL, Ghostscript kodere i gs delegat. Kod aplikacija sa Disk servisom neophodna je i rotacija secret_key_base, glavnog ključa, sadržaja config/credentials.yml.enc, skladišnih i bazaških pristupnih podataka, kao i tokena trećih strana. Za poslovanje je najvažnije da se ažuriranje ne tretira kao rutinska zakrpa, već kao proverljiv zadatak koji obuhvata konfiguraciju obrade fajlova, politiku servera i zamenu potencijalno izloženih tajni.