Cảnh báo lỗ hổng nghiêm trọng trong Ruby on Rails Active Storage

• Mức độ nghiêm trọng: Lỗ hổng được đánh giá ở mức Critical với điểm CVSS 9.8, cho phép kẻ tấn công không cần xác thực thực hiện đọc và ghi tệp tin trên máy chủ.
• Cơ chế tấn công: Lợi dụng cách ImageMagick xử lý các tệp tin dựa trên nội dung thay vì phần mở rộng, cho phép thực thi các lệnh MSL hoặc truy cập tệp tin nhạy cảm.
• Phạm vi ảnh hưởng: Các ứng dụng sử dụng Active Storage với cấu hình :mini_magick trên các phiên bản trước 8.0.5.2 và 8.1.4.1.
• Khuyến nghị: Cập nhật ngay lập tức lên phiên bản 8.0.5.2 hoặc 8.1.4.1 và áp dụng chính sách bảo mật ImageMagick đi kèm.

Các nhà nghiên cứu bảo mật vừa công bố thông tin về một lỗ hổng bảo mật nghiêm trọng trong thành phần Active Storage của framework Ruby on Rails. Lỗ hổng này cho phép một người dùng không cần xác thực có thể tải lên các tệp hình ảnh đã được chế tạo đặc biệt, từ đó ép buộc máy chủ thực hiện các thao tác ghi tệp tin trái phép. Trong trường hợp ứng dụng sử dụng dịch vụ lưu trữ Disk, kẻ tấn công thậm chí có thể đọc được các tệp tin nhạy cảm trên hệ thống.

Phân tích cơ chế kỹ thuật của lỗ hổng

Nguyên nhân gốc rễ của vấn đề nằm ở cách thức hoạt động của thư viện ImageMagick. Thay vì xác định định dạng tệp tin dựa trên phần mở rộng, ImageMagick tự động lựa chọn bộ xử lý (coder) dựa trên nội dung bên trong tệp. Một số bộ xử lý này có khả năng tương tác với các tệp tin khác được tham chiếu bên trong hình ảnh, tạo ra kẽ hở cho các cuộc tấn công khai thác tệp tin cục bộ.

Active Storage không áp đặt giới hạn đối với các bộ xử lý này, và trình phân tích hình ảnh (image analyzer) sẽ tự động kích hoạt ngay khi tệp tin được đính kèm. Điều này có nghĩa là kẻ tấn công không cần thực hiện các thao tác phức tạp như tạo biến thể (variant) hay xem trước (preview) để kích hoạt lỗ hổng.

Các thành phần bị ảnh hưởng

Một ứng dụng sẽ bị coi là có nguy cơ nếu đáp ứng đồng thời ba điều kiện sau:

• Cấu hình bộ xử lý: Sử dụng config.active_storage.variant_processor = :mini_magick (mặc định cho các ứng dụng sử dụng load_defaults 6.1 hoặc cũ hơn).
• Chính sách bảo mật: Chạy ImageMagick dưới một chính sách không chặn các bộ xử lý nguy hiểm (các chính sách mặc định trên Debian và Ubuntu thường không đủ an toàn).
• Quyền truy cập: Cho phép người dùng không tin cậy tải lên tệp tin.

Bảng tổng hợp các phiên bản và rủi ro

Hướng dẫn khắc phục và phòng thủ

Nhóm phát triển Ruby on Rails đã phát hành bản vá trong các phiên bản 8.0.5.2 và 8.1.4.1. Bản vá này tích hợp một chính sách bảo mật ImageMagick mới, được tự động áp dụng thông qua biến môi trường MAGICK_CONFIGURE_PATH. Chính sách này chặn các bộ xử lý nguy hiểm như MSL, các trình xử lý Ghostscript và các lệnh truy cập tệp tin gián tiếp.

⚠️ Cảnh báo quan trọng: Nếu ứng dụng của bạn sử dụng dịch vụ Disk, hãy coi như các tệp tin nhạy cảm như secret_key_base, credentials.yml.enc và các khóa API của bên thứ ba đã bị lộ. Bạn cần thực hiện xoay vòng (rotate) toàn bộ các khóa bí mật này ngay sau khi cập nhật bản vá.

Đối với các hệ thống chưa thể nâng cấp ngay lập tức, quản trị viên có thể áp dụng giải pháp tạm thời bằng cách cập nhật thủ công tệp cấu hình chính sách của ImageMagick (thường nằm tại /etc/ImageMagick-7/policy.xml). Cần đảm bảo các quy tắc sau được thiết lập:

# Ví dụ cấu hình chặn các bộ xử lý nguy hiểm trong policy.xml 

Việc bảo mật các ứng dụng web hiện đại đòi hỏi sự hiểu biết sâu sắc về các thư viện xử lý tệp tin bên thứ ba. Như đã thấy với CVE-2026-66066 trước đó, các công cụ xử lý hình ảnh thường xuyên trở thành mục tiêu của các cuộc tấn công khai thác lỗ hổng. Các đội ngũ vận hành cần duy trì quy trình kiểm tra tệp tin đầu vào nghiêm ngặt và thường xuyên cập nhật các thư viện phụ thuộc để giảm thiểu rủi ro.