Rails Active Storage: Dateilesezugriff und Codeausführung über Tempfile-Erweiterung

Zusammenfassung

Active Storage übergibt ffprobe, ffmpeg und ImageMagick eine temporäre Datei, deren Erweiterung vom hochgeladenen Dateinamen stammt. Diese Werkzeuge wählen anhand der Erweiterung einen Decoder, weshalb ein Hochladender mit Einfluss auf den Dateinamen den Decoder bestimmen kann. Über den AviSynth-Pfad können Dateien gelesen werden, auf die der Anwendungsprozess Zugriff hat, oder eine hochgeladene native Bibliothek geladen werden, was zu einer Codeausführung im FFmpeg-Prozess führen kann; andere über die Erweiterung gewählte Decoder können ohne AviSynth erreichbar sein. Der Angriff setzt voraus, dass die Anwendung Uploads von nicht vertrauenswürdigen Benutzern annimmt und Video- oder Audio-Anhänge analysiert, Videovorschauen erzeugt oder Bilder mit ImageMagick verarbeitet.

Betroffen

• Rails 8.1 vor 8.1.4.1
• Rails 8.0 vor 8.0.5.2
• Ältere Versionen: Unbekannt.

Behoben in

• activestorage 8.1.4.1
• activestorage 8.0.5.2

Umgehung

• Videound Audio-Analyse sowie Videovorschauen für nicht vertrauenswürdige Uploads deaktivieren.
• Uploads von nicht vertrauenswürdigen Benutzern nicht mehr annehmen oder ffmpeg, ffprobe und ImageMagick auf Hosts entfernen, auf denen sie nicht benötigt werden.
• Ein anderer Workaround des Herstellers ist nicht bestätigt. Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Rails-Anwendungen mit activestorage unter 8.1.4.1 oder 8.0.5.2 identifizieren und für Rails-7.x-Anwendungen eine Migration planen, da dafür kein Fix verfügbar ist.
• Auf 8.1.4.1 oder 8.0.5.2 zusammen mit dem ImageMagick-Fix GHSA-f3w6-w445-fwh9 aktualisieren.
• Prüfen, ob nicht vertrauenswürdige Uploads die Analyse oder Vorschauen erreichen, und ob auf einem Windows-Host ein GPL-FFmpeg-Build mit AviSynth läuft.
• Bei vermuteter Exposition secret_key_base und Zugangsdaten für Cloud-Speicher rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub security advisory GHSA-v924-7rp8-4mxh github.com
• Fix commit 72136ff (tempfile extension) github.com
• Fix commit 8106938 (tempfile extension) github.com
• Rails release v8.1.4.1 github.com
• Rails release v8.0.5.2 github.com
• CVE description (Strix) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:38.