W module Active Storage frameworka Ruby on Rails odkryto krytyczną lukę (CVSS 9.8), która pozwala na zdalne manipulowanie plikami na serwerze. Problem wynika z braku ograniczeń w doborze koderów przez ImageMagick podczas analizy przesyłanych plików. Atakujący może przesłać spreparowany plik, np. SVG, który poprzez kodera MSL wymusi operacje na plikach systemowych.
Jeśli aplikacja korzysta z usługi Disk w Active Storage, luka umożliwia również odczytanie kluczowych danych, takich jak secretkeybase czy poświadczenia do innych systemów. Może to prowadzić do przejęcia pełnej kontroli nad aplikacją lub ruchu bocznego wewnątrz infrastruktury. Podatność dotyczy aplikacji używających ImageMagick jako procesora wariantów.
Deweloperzy wydali poprawki w wersjach Rails 8.1.4.1 oraz 8.0.5.2. Nowe wersje wprowadzają również restrykcyjną politykę bezpieczeństwa dla ImageMagick, która blokuje niebezpieczne kodery, w tym MSL oraz te oparte na Ghostscript. Zaleca się niezwłoczną aktualizację oraz weryfikację, czy nowa polityka jest poprawnie stosowana przez środowisko uruchomieniowe.
