Ruby on Rails Active Storage: kritische Schwachstelle beim Dateischreiben über ImageMagick-Uploads

Was ist passiert

Am 4. November 2026 wurde eine kritische Schwachstelle in Ruby on Rails Active Storage öffentlich bekannt. Ein nicht authentifizierter Angreifer kann über einen präparierten Upload beliebige Dateien auf dem Server schreiben, sofern die Anwendung Uploads mit ImageMagick verarbeitet. Das Schreiben beliebiger Dateien auf einem Webserver kann einem Angreifer einen Ansatzpunkt verschaffen, um Anwendungscode oder Konfiguration zu verändern.

Die Rails-Maintainer haben korrigierte Versionen veröffentlicht: Rails 8.1.4.1 und Rails 8.0.5.2. Zum Zeitpunkt der Erstellung dieses Beitrags liegen keine Berichte über eine aktive Ausnutzung vor. Da keine Anmeldung erforderlich ist, sollten Anwendungen, die Uploads von öffentlichen Nutzern annehmen, dennoch zeitnah aktualisiert werden.

Wer ist betroffen

• Anwendungen auf Basis von Ruby on Rails, die Active Storage für Datei-Uploads nutzen
• und diese Uploads (zum Beispiel für Bildvarianten oder Vorschauen) mit ImageMagick verarbeiten
• auf einer Rails-Version älter als 8.1.4.1 (Reihe 8.1) oder 8.0.5.2 (Reihe 8.0) betrieben werden

Wenn Sie ältere Rails-Reihen einsetzen, lassen die Quelldaten nicht erkennen, ob diese betroffen oder behoben sind. Prüfen Sie für Ihre Version die Sicherheitsankündigung von Rails und den unten verlinkten Artikel.

Behörden sollten jede Kundenanwendung prüfen, die auf Rails läuft, einschließlich interner Werkzeuge und Staging-Systeme, die Uploads annehmen.

Was Sie jetzt tun sollten

1. Erfassen Sie alle Rails-Anwendungen, die Sie betreiben, und notieren Sie die Rails-Version jeder Anwendung (siehe nächster Abschnitt).
2. Sichern Sie Anwendungscode, Gemfile, Gemfile.lock und Konfiguration, bevor Sie Änderungen vornehmen.
3. Aktualisieren Sie Rails auf 8.1.4.1 (sofern Sie 8.1 einsetzen) oder 8.0.5.2 (sofern Sie 8.0 einsetzen), zum Beispiel indem Sie die Version im Gemfile setzen und bundle update rails ausführen. Committen Sie die aktualisierte Gemfile.lock.
4. Führen Sie Ihre Testsuite aus und rollen Sie das Update über Ihren üblichen Bereitstellungsprozess aus.
5. Starten Sie den Applikationsserver (zum Beispiel Puma oder Passenger) und alle Hintergrund-Worker neu, damit die neue Version geladen wird.
6. Testen Sie einen Upload mit Bildverarbeitung, um sicherzustellen, dass die Anwendung weiterhin funktioniert.
7. Falls Sie nicht sofort aktualisieren können, sollten Sie in Erwägung ziehen, öffentliche Uploads oder die Bildverarbeitung in der betroffenen Anwendung vorübergehend zu deaktivieren, bis das Update eingespielt ist.

So prüfen Sie, ob Sie betroffen sind

• Rails-Version: Führen Sie im Anwendungsverzeichnis bundle exec rails -v aus oder suchen Sie den Eintrag rails in der Gemfile.lock. Versionen unterhalb von 8.1.4.1 (Reihe 8.1) oder 8.0.5.2 (Reihe 8.0) benötigen das Update.
• Nutzung von ImageMagick: Prüfen Sie, ob die Anwendung ImageMagick für Active Storage verwendet, etwa über das Gem mini_magick in der Gemfile.lock oder über eine Einstellung variant_processor mit dem Wert :mini_magick in der Rails-Konfiguration. Prüfen Sie außerdem, ob ImageMagick auf dem Server installiert ist (convert -version oder magick -version).
• Anzeichen für eine Kompromittierung: Sichten Sie Web-Server- und Anwendungslogs auf ungewöhnliche Upload-Anfragen seit dem 4. November 2026 und suchen Sie nach unerwarteten oder kürzlich geänderten Dateien im Anwendungsverzeichnis, im öffentlichen Verzeichnis und in Konfigurationspfaden (zum Beispiel mit find /pfad/zur/app -newermt 2026-11-04 -type f). Untersuchen Sie alle Dateien, die Sie nicht erklären können, bevor Sie davon ausgehen, dass das System sauber ist.

Quellen

• https://thehackernews.com/2026/11/critical-rails-flaw-lets-attackers.html