Rails修補9.8分重大漏洞，使用ImageMagick處理上傳圖片的網站需留意

開源網站應用程式框架Ruby on Rails（Rails）11月4日發布8.0.5.2及8.1.4.1安全更新，修補21項安全問題，其中包括CVSS風險分數達9.8的Active Storage重大漏洞。使用Rails開發網站的企業，若透過Active Storage及ImageMagick處理使用者上傳的圖片，且符合特定設定條件，未經身分驗證的攻擊者就可能在伺服器寫入任意檔案；若應用程式使用Disk服務儲存附件，攻擊者還可能讀取應用程式執行時有權讀取的任意檔案。

這項漏洞影響允許不受信任使用者上傳檔案，且ImageMagick安全政策未封鎖相關檔案處理功能的應用程式。由於Active Storage會自動分析上傳檔案，攻擊者不必另外執行圖片轉換或產生預覽，就可能觸發漏洞。若攻擊者進一步讀取應用程式密鑰、資料庫憑證或第三方服務權杖等敏感資訊，還可能造成遠端執行程式碼或橫向移動。

Rails已在8.0.5.2及8.1.4.1加入ImageMagick安全限制，建議受影響企業儘速升級。使用MiniMagick處理圖片的應用程式，須確認採用5.1以上版本，並檢查更新是否影響既有檔案處理功能。此外，Rails要求使用Disk服務儲存附件的應用程式，更換應用程式執行時可讀取的密鑰及相關憑證，以降低後續遭到入侵的風險。

Rails官方尚未說明這項漏洞是否已遭實際攻擊。根據Dark Reading報導，資安業者watchTowr已在實驗環境成功重現漏洞。此外，Rails 8.0系列的安全支援將於11月7日結束，仍使用該系列或更舊版本的企業，除了確認漏洞修補情況，也需留意後續版本升級及安全維護安排。