Active Storage: Umgehung von Dateigrössenlimits bei GCS-Direct-Uploads

Zusammenfassung

Active Storage in Ruby on Rails bindet die deklarierte Dateigrösse nicht in die signierte URL für Direct-Uploads zu Google Cloud Storage (GCS) ein. Ein Client mit einer solchen signierten URL kann eine Datei hochladen, die grösser ist als die deklarierte Grösse, und der gespeicherte Blob behält die deklarierte Grösse. Dadurch können Dateigrössenvalidierungen und Speicherkontingente der Anwendung umgangen werden. Betroffen sind nur Anwendungen, die Dateien in GCS speichern und Direct-Uploads akzeptieren.

Betroffen

• rails (activestorage) 8.1 vor 8.1.4.1
• rails (activestorage) vor 8.0.5.2
• Nur der Google-Cloud-Storage-Dienst mit Direct-Uploads

Behoben in

• Auf activestorage 8.1.4.1 oder 8.0.5.2 (oder neuer) aktualisieren

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Das Aktualisieren ist die Behebung.

Ausnutzung

• In den geprüften Quellen wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
• In den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt

Unsere Empfehlung

• Rails-Anwendungen identifizieren, die den GCS-Speicherdienst mit Direct-Uploads nutzen (config/storage.yml)
• Active Storage auf 8.1.4.1 oder 8.0.5.2 (oder neuer) aktualisieren; bei älteren Versionen einen Wechsel auf einen unterstützten Zweig planen
• x-goog-content-length-range in die responseHeader-Liste der CORS-Konfiguration des GCS-Buckets aufnehmen und Browser-Uploads testen
• Prüfen, ob Direct-Upload-URLs an nicht authentifizierte Benutzer ausgegeben werden, sowie Speicherkontingente und Grössenlimits kontrollieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Rails GHSA-hfr4-8rjc-97m2 advisory github.com
• Rails release v8.1.4.1 github.com
• Rails release v8.0.5.2 github.com
• Rails commit e19916c (8.1) github.com
• Rails commit 7fe85a7 (8.0) github.com
• OSV GHSA-hfr4-8rjc-97m2 osv.dev
• Rails security releases 8.0.5.2 and 8.1.4.1 discuss.rubyonrails.org
• CVE Record CVE-2026-126085 www.cve.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:15.