Kritická chyba v Rails: ImageMagick v Active Storage umožňuje zápis souborů

Vývojáři webových aplikací postavených na frameworku Ruby on Rails řeší kritickou zranitelnost, která souvisí s integrací nástroje ImageMagick v rámci komponenty Active Storage. Chyba podle dostupných informací umožňuje útočníkovi zapisovat do systému libovolné soubory a zároveň číst soubory citlivé. Jde tedy o kombinaci dvou schopností, které jsou při napadení serveru mimořádně nebezpečné.

Active Storage je v Rails standardní nástroj pro správu nahrávaných souborů, tedy například profilových fotografií, příloh nebo podkladů v e-shopech. ImageMagick se v této souvislosti používá ke zpracování obrázků, například ke změně velikosti či generování náhledů. Právě na tomto místě, kde aplikace přebírá soubory od uživatelů a předává je dál ke zpracování, chyba vzniká.

Vektorem útoku jsou přitom nahrávané obrázky. Útočník nepotřebuje komplikovaný přístup k infrastruktuře. Stačí, aby dokázal do napadené aplikace nahrát speciálně připravený soubor, který se pak při zpracování zachová jinak, než by měl. U webových služeb, které uživatelům nahrávání obrázků běžně umožňují, to znamená poměrně široký prostor pro zneužití.

Možnost zapisovat libovolné soubory je obecně považována za jednu z nejvážnějších kategorií zranitelností. Útočník tak může na server umístit vlastní skripty, upravit konfiguraci nebo přepsat soubory, které aplikace později spustí. Schopnost číst citlivé soubory zase otevírá cestu k získání přístupových údajů, klíčů či dalších dat uložených na serveru. Kombinace obou možností se pak snadno proměňuje v plné převzetí kontroly nad napadeným systémem.

Zranitelnost má také širší dosah než samotná aplikace. Podle dostupných informací může útočníkovi poskytnout oporu pro laterální pohyb v síti. Jinými slovy, napadený server by mohl sloužit jako výchozí pozice pro další útoky na ostatní systémy ve stejném prostředí, například na databáze, interní služby či další servery. Právě tento scénář bývá pro organizace nejnákladnější, protože z jedné chyby ve webové aplikaci se může stát průnik do celé firemní infrastruktury.

Dostupné informace přitom zůstávají poměrně kusé. Článek, ze kterého zpráva vychází, neuvádí konkrétní datum objevení chyby ani identifikátor CVE, pod kterým by byla zranitelnost vedena v databázích. Není známo ani to, které verze Ruby on Rails jsou zasaženy a od jaké verze je k dispozici oprava. Stejně tak chybí údaj o tom, kolik serverů či aplikací by mohlo být ohroženo, ani informace o tom, zda byla zranitelnost již aktivně zneužívána.

Správci aplikací postavených na Rails by proto měli sledovat oficiální bezpečnostní oznámení projektu a hlásit se k aktualizacím, jakmile budou k dispozici. Obecným doporučením v takových případech je prověřit, zda aplikace využívá Active Storage ve spojení s ImageMagick, a zvážit omezení typů souborů, které uživatelé smějí nahrávat. Rozumným krokem je také oddělit zpracování nahraných souborů od zbytku infrastruktury a omezit oprávnění procesu, který se obrázky zabývá, aby případný průnik nemohl snadno zasáhnout další části systému.

Zranitelnosti související se zpracováním obrázků nejsou v ekosystému webových aplikací ničím novým. ImageMagick byl v minulosti opakovaně terčem bezpečnostních výzkumníků i útočníků, protože umí pracovat s velkým množstvím formátů a jeho složitost s sebou nese riziko chyb. Současný případ ukazuje, že přenesení této složitosti do populárního frameworku může problém znásobit, zejména pokud se zranitelný kód nachází v části, která je dostupná běžným uživatelům.

Dokud nebudou k dispozici podrobnosti o postižených verzích a opravách, zůstává pro vývojáře i provozovatele nejdůležitější sledovat vývoj situace a být připraveni na rychlé nasazení záplat. U kritické chyby s možností zápisu a čtení souborů, kterou lze navíc spustit pouhým nahráním obrázku, je totiž čas rozhodujícím faktorem.