Un upload anonimo può esporre i segreti delle app Rails
Ruby on Rails ha corretto una falla in Active Storage, valutata 9,8/10 da Rails, che consente a un utente non autenticato di scrivere file sul server. Nelle app che usano il servizio Disk, la stessa falla permette anche di leggere qualsiasi file accessibile al processo Rails. Sono esposte le app che accettano upload non fidati, usano ImageMagick e non ne bloccano i gestori coinvolti.
Quando un file viene allegato, Active Storage lo passa all’analisi di ImageMagick. Il programma sceglie un gestore in base al contenuto; alcuni gestori possono seguire riferimenti nel file e leggere o scrivere altri file sul server. Basta allegare il file: non serve creare un’anteprima o convertirlo.
Rails ha corretto il problema nelle versioni 8.1.4.1 e 8.0.5.2. Nelle app Disk, i segreti leggibili dal processo possono raggiungere sistemi collegati; se sono stati esposti, possono restare validi anche dopo la patch.