Ruby on Rails Active Storage: Denial of Service durch Speicherfehler im Proxy-Modus
Zusammenfassung
Active Storage in Ruby on Rails gibt einen Streaming-Puffer nicht frei, wenn nach dem Senden des ersten Datenblocks eines Dateidownloads ein Speicherfehler auftritt. Der betroffene Serverthread blockiert dann bis zum Neustart des Prozesses. Anwendungen, die Dateien auf Amazon S3, S3-kompatiblen Diensten oder Google Cloud Storage speichern und die Standard-Routen von Active Storage verwenden, sind betroffen. Wiederholte fehlgeschlagene Downloads, zum Beispiel nach dem Löschen einer Datei während des Downloads, könnten die Serverthreads erschöpfen und zu einem Denial of Service führen.
Betroffen
- Active Storage 8.0 vor 8.0.5.2
- Active Storage 8.1 vor 8.1.4.1
Behoben in
- 8.0.5.2
- 8.1.4.1
Umgehung
- Unbekannt. Die verlinkten Patch-Commits anwenden, falls ein sofortiges Upgrade nicht möglich ist.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Rails-Anwendungen mit activestorage identifizieren (Gemfile.lock prüfen).
- Auf Rails 8.1.4.1 oder neuer aktualisieren. Der Sicherheitssupport für Rails 8.0 endet am 7. November 2026, daher auf 8.1 wechseln statt auf 8.0 zu bleiben.
- Zusammen mit dem ImageMagick-Fix GHSA-f3w6-w445-fwh9 im selben Release aktualisieren.
- Thread-Auslastung und Fehlerprotokolle auf hängende Anfragen an Download-Routen überwachen, bis der Patch eingespielt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4v2w-w6g6-f8f8 github.com
- Rails 8.1.4.1 release tag github.com
- Rails 8.0.5.2 release tag github.com
- Fix commit for 8.1 line github.com
- Fix commit for 8.0 line github.com
- Rails security release announcement rubyonrails.org
- CVE record summary (CVE-2026-126071) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:15.
Referenzen der NVD (5)
- https://github.com/rails/rails/commit/3c67a693fb21870ecb1222e3da59d5c491a62009
- https://github.com/rails/rails/commit/655b4442de136a3701334607f634d698bf9d5b82
- https://github.com/rails/rails/releases/tag/v8.0.5.2
- https://github.com/rails/rails/releases/tag/v8.1.4.1
- https://github.com/rails/rails/security/advisories/GHSA-4v2w-w6g6-f8f8
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.