Ruby on Rails Active Storage: Unsignierter Content-Type bei GCS-Direktuploads

Zusammenfassung

Active Storage in Rails signiert Direktupload-URLs für Google Cloud Storage mit V4, wenn die Option cache_control gesetzt ist, und die Signatur deckt die Header Content-Type und Content-MD5 nicht ab. Ein Client mit einer gültigen Upload-URL kann daher ein Objekt mit einem selbst gewählten Content-Type hochladen, etwa text/html, das GCS als Metadaten speichert und unter dem Bucket-Pfad auf storage.googleapis.com inline ausliefern kann. Skript in einem solchen Objekt läuft auf dem Storage-Ursprung und könnte einen Service Worker registrieren, um Antworten für signierte URLs im Bucket zu lesen oder zu ersetzen. Betroffen sind nur Anwendungen mit GCS-Service, gesetztem cache_control und aktivierten Direktuploads.

Betroffen

• Rails Active Storage 8.1 vor 8.1.4.1
• Rails Active Storage 8.0 vor 8.0.5.2
• Nur mit GCS-Service, konfiguriertem cache_control und aktivierten Direktuploads
• Rails 7.2 und älter: nicht verifiziert, vom Hersteller nicht als betroffen aufgeführt

Behoben in

• 8.1.4.1
• 8.0.5.2

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung.
• Kein öffentlicher Proof of Concept gefunden.
• Laut einem Aggregator nicht im CISA-KEV-Katalog; nicht direkt geprüft.

Unsere Empfehlung

• Auf Rails 8.1.4.1 oder 8.0.5.2 aktualisieren; bei 8.0 ist der Wechsel auf 8.1.4.1 vorzuziehen, da der Sicherheitssupport für 8.0 beendet ist.
• In config/storage.yml prüfen, ob GCS-Services mit cache_control und aktivierten Direktuploads verwendet werden.
• Client-Code testen, der sich auf das 7-Tage-Limit oder die signierte Cache-Control-Angabe verlässt, da sich beides geändert hat.
• Das gleiche Release zeitnah einspielen, da es auch ein kritisches ImageMagick-Problem in Active Storage behebt.
• Falls ein rasches Patchen nicht möglich ist, kann nach Test der Auswirkungen auf Uploads die Option GCS-Direktuploads deaktiviert oder cache_control entfernt werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3w93-6hmw-whh4 github.com
• CVE Record CVE-2026-126084 www.cve.org
• Rails 8.0.5.2 release tag github.com
• Rails 8.1.4.1 release tag github.com
• Rails release announcement rubyonrails.org
• Fix commit for 8.1 github.com
• Fix commit for 8.0 github.com
• Active Storage CHANGELOG v8.1.4.1 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:14.