Critical Rails Flaw Lets Attackers Write Server Files via Crafted ImageMagick Uploads

Un fallo crítico en Ruby on Rails podría permitir que un atacante sin necesidad de iniciar sesión escriba archivos arbitrarios en el servidor de una aplicación. Esto ocurre al subir archivos diseñados maliciosamente si la aplicación procesa las cargas usando ImageMagick (una herramienta para manipular imágenes). El proyecto Rails ya corrigió este problema en las versiones 8.1.4.1 y 8.0.5.2.

La falla se encuentra en Active Storage, la parte de Rails que gestiona la subida de archivos. En aplicaciones que guardan archivos en el disco del servidor, un atacante también podría leer cualquier archivo que la aplicación tenga permiso para ver. Esto incluye archivos con claves secretas (secret_key_base) y credenciales de otros sistemas, lo que podría permitir la ejecución de código remoto o el movimiento lateral hacia otros sistemas de la empresa.

El fallo tiene una calificación de 9.8 sobre 10 en la escala CVSS y se identifica como GHSA-f3w6-w445-fwh9. El problema surge porque ImageMagick utiliza ciertos 'codificadores' (programas internos para leer formatos) que pueden actuar sobre otros archivos nombrados dentro de la imagen. Al no haber límites estrictos en Active Storage, un atacante puede usar un archivo SVG para activar el codificador MSL, el cual permite leer y escribir archivos mediante scripts.

Para que una aplicación sea vulnerable, debe cumplir tres condiciones: usar ImageMagick para el procesamiento de imágenes en Active Storage, tener una política de seguridad de ImageMagick que no bloquee estos codificadores, y permitir la subida de archivos por parte de usuarios no confiables. Las versiones de Rails anteriores a la 8.0 ya no tienen soporte y no recibirán actualizaciones de seguridad.

Qué significa para una pyme colombiana y cucuteña: Si su empresa tiene un software o página web desarrollada en Ruby on Rails que permite a los clientes subir fotos o documentos, debe actuar de inmediato. Primero, verifique con su desarrollador si están usando las versiones 8.1.4.1 o 8.0.5.2; si no, exija la actualización hoy mismo. Segundo, si ya han sido atacados o si usan el servicio de almacenamiento en disco, es obligatorio cambiar todas las claves secretas y credenciales de bases de datos, ya que estas podrían haber sido robadas.