Rails Active Support: Denial of Service in safe_constantize

Zusammenfassung

Active Support, die Hilfsbibliothek, die Rails und andere Ruby-Projekte verwenden, enthält eine Denial-of-Service-Schwachstelle in safe_constantize. Wenn eine Konstantensuche LoadError auslöst, wird der angefragte Konstantenname unmaskiert in einen regulären Ausdruck eingefügt, sodass präparierte Eingaben Defekte im regulären Ausdruck-Compiler von Ruby auslösen können. Action Cable übergibt den Kanalwert jedes Subscribe-Befehls an diese Methode, daher kann ein nicht authentifizierter Client sie erreichen, wenn die Anwendung Action Cable einbindet und Verbindungen von nicht vertrauenswürdigen Clients akzeptiert; wiederholte Anfragen könnten den Server-Prozess zum Absturz bringen und die Anwendung nicht verfügbar halten.

Betroffen

• activesupport 8.1.x ab 8.1.0 bis (ausschliesslich) 8.1.4.1
• activesupport unterhalb 8.0.5.2

Behoben in

• activesupport 8.1.4.1
• activesupport 8.0.5.2

Umgehung

Unbekannt. Das Advisory des Herstellers nennt keine Konfigurations-Massnahme über das Einspielen des Patches hinaus.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Rails- und activesupport-Versionen inventarisieren (Gemfile.lock) und auf 8.1.4.1 oder 8.0.5.2 aktualisieren.
• Prüfen, ob Action Cable eingebunden und ohne Authentifizierung erreichbar ist, und den Zugriff einschränken oder deaktivieren, falls es nicht benötigt wird.
• Das Update für Rails 8.0 planen, dessen Sicherheits-Support bald endet, und ältere Rails-Versionen migrieren, für die kein Fix verfügbar ist.
• Nach dem Update auf Server-Abstürze oder Neustarts von Worker-Prozessen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8474-xrp6-wh69 (Rails) github.com
• GitHub Advisory Database GHSA-8474-xrp6-wh69 github.com
• Rails release v8.1.4.1 github.com
• Rails release v8.0.5.2 github.com
• Fix commit 95aa9e4 (8.1 line) github.com
• Fix commit 210ac22 (8.0 line) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:48.