Rails corrige 21 failles, dont une critique dans Active Storage avec ImageMagick

Ce qui est nouveau

Ruby on Rails publie les versions 8.0.5.2 et 8.1.4.1, qui corrigent 21 problèmes de sécurité. La faille critique GHSA-f3w6-w445-fwh9 touche Active Storage, le composant chargé des fichiers téléversés. Elle permet potentiellement à un attaquant non authentifié d’écrire des fichiers arbitraires sur le serveur. Lorsque les pièces jointes sont stockées avec le service Disk, elle peut aussi permettre de lire les fichiers accessibles au processus de l’application.

L’avis de Rails concerne les versions d’Active Storage antérieures à 8.0.5.2, ainsi que la branche 8.1 avant 8.1.4.1. L’exposition suppose trois conditions réunies : utiliser ImageMagick, accepter des téléversements d’utilisateurs non fiables et ne pas déjà bloquer les modules de traitement concernés dans la politique de sécurité d’ImageMagick.

Ce qui change et pourquoi

ImageMagick choisit son module de traitement à partir du contenu du fichier. Certains modules peuvent agir sur d’autres fichiers désignés à l’intérieur de l’image. Jusqu’ici, Active Storage ne restreignait pas ces modules : seule la politique du serveur limitait leur utilisation. Le simple rattachement d’un fichier téléversé suffit à déclencher l’analyse, sans génération de miniature ni d’aperçu.

Les versions corrigées ajoutent une politique de sécurité appliquée aux commandes ImageMagick lancées par MiniMagick, la bibliothèque Ruby qui l’appelle. Elle bloque notamment le module de script MSL et plusieurs mécanismes d’accès à d’autres fichiers. Cette protection exige séparément MiniMagick 5.1 ou ultérieur ; une version plus ancienne provoque une erreur au démarrage des applications concernées. Certaines personnalisations de MiniMagick empêchent toutefois son chargement, et une autorisation dans la politique du serveur peut prévaloir sur un blocage livré par Rails.

Les mêmes versions corrigent GHSA-v924-7rp8-4mxh, une autre faille d’Active Storage : l’extension d’un fichier téléversé pouvait orienter le choix du décodeur dans ImageMagick ou FFmpeg. Le correctif ne conserve désormais cette extension que si elle correspond au type de contenu enregistré.

Pourquoi c’est important

Les fichiers potentiellement lisibles peuvent contenir des secrets de l’application et des identifiants de systèmes tiers. Leur divulgation pourrait permettre une exécution de code à distance ou un déplacement vers ces systèmes, selon Rails. L’avis ne précise pas si la faille critique a été exploitée.

Le périmètre dépend donc de la configuration, et non de la seule présence de Rails. Les branches antérieures à 8.0 ne sont plus prises en charge ; le support de sécurité de la branche 8.0 prend fin le 7 novembre 2026.