Action Pack: Session-Cookie-Leck über Set-Cookie in Active-Storage-Proxy-Antworten

Zusammenfassung

Action Pack schreibt signierte oder verschlüsselte Cookies neu, die unter einem rotierten Secret oder im Format einer :hybrid-Serializer-Migration ausgestellt wurden. Diese Neuschreibung ignoriert die Einstellung, mit der das Session-Cookie aus einer Antwort herausgehalten wird. Antworten des Active-Storage-Proxys sind öffentlich und cachebar, daher kann ein gemeinsamer Cache einen Set-Cookie-Header mit einer Session speichern und an andere Benutzer ausliefern. Voraussetzungen sind der Active-Storage-Proxy, eine Cookie-Rotation oder eine :hybrid-Serializer-Migration sowie ein Cache, der Set-Cookie auf öffentlichen Antworten speichert. Die Lücke umgeht zudem den früheren Fix für CVE-2024-26144.

Betroffen

• Action Pack (Rails) 8.1 vor 8.1.4.1
• Action Pack (Rails) 8.0 vor 8.0.5.2
• Rails 7.2 und älter: Unbekannt

Behoben in

• Rails 8.1.4.1
• Rails 8.0.5.2 (der Sicherheitssupport für 8.0 ist beendet; 8.1.4.1 ist das realistische Ziel)

Umgehung

• Es ist keine Workaround-Massnahme ohne Konfigurationsänderung dokumentiert.
• Caching-Proxys so konfigurieren, dass Antworten mit Set-Cookie-Headern nicht gespeichert werden.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden. Der Status im CISA-KEV-Katalog wurde nicht geprüft.
• Es wurde kein öffentlicher Proof of Concept gefunden. Das beweist nicht, dass keiner existiert.
• Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend.

Unsere Empfehlung

• Auf Rails 8.1.4.1 aktualisieren (oder auf 8.0.5.2, falls der Wechsel auf 8.1 noch nicht möglich ist).
• Prüfen, ob config.action_dispatch.cookies_rotations oder der :hybrid-Cookie-Serializer konfiguriert ist.
• Prüfen, ob Active-Storage-Proxy-Routen über eine Caching-Schicht erreichbar sind, und Antworten mit Set-Cookie-Headern nicht cachen.
• Gleichzeitig die anderen Fixes desselben Release einspielen, insbesondere GHSA-f3w6-w445-fwh9 (Active Storage Dateischreib- und Lesezugriff, kritisch bewertet).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-x6mj-8jx9-qhqv github.com
• Rails 8.1.4.1 release github.com
• Rails 8.0.5.2 release github.com
• Fix commit 0e6cf8f github.com
• Fix commit 849a6c3 github.com
• Rails security release announcement rubyonrails.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:16.