Rails 修補 9.8 分漏洞，一個上載檔案可寫入伺服器

Rails 修補 9.8 分漏洞，一個上載檔案可寫入伺服器

Ruby on Rails 團隊在 2026 年 11 月 4 日發布安全公告，指使用 ImageMagick 處理附件的 Rails 應用程式，可能讓未登入的攻擊者在伺服器上寫入任意檔案。Ruby on Rails 是常用的網站開發框架，即寫網站時用的一套現成程式工具；ImageMagick 則是開源的圖片處理軟件。公告按通用漏洞評分系統（CVSS，以 0 至 10 分衡量漏洞嚴重程度）把漏洞評為 9.8 分，屬「嚴重」級別。

上載一個特製檔案已足以觸發

公告解釋，ImageMagick 會按檔案內容而非檔名，揀選負責處理該格式的「coder」，而部分 coder 會處理圖片內指名的其他檔案。Rails 負責上載的 Active Storage 元件沒有限制任何 coder，並會在附件上載時自動分析圖片，所以攻擊者只要上載一個特製檔案就可能觸發漏洞，毋須網站再做其他處理。

若附件以 Disk 服務存放在伺服器本機，攻擊者更可讀取應用程式能讀取的任何檔案，通常包括 secret_key_base，即 Rails 用來簽署及加密資料的主密鑰，以及外部系統的登入憑證，之後可能進一步遙距執行程式碼。

同時符合三項條件才受影響

公告列明，應用程式要同時符合三項條件才受影響：以 mini_magick 作圖片處理器，這是 load_defaults 6.1 或更早設定的預設值；ImageMagick 的安全政策未有封鎖相關 coder，而 Debian 及 Ubuntu 預設的政策並未封鎖；以及接受不受信任的用戶上載檔案。

修補版本是 activestorage 8.0.5.2 及 8.1.4.1，於同日推出，內附 ImageMagick 安全政策，封鎖 MSL 腳本 coder 及 Ghostscript 相關格式。未能即時升級的網站，可把相同規則抄進系統的 ImageMagick 安全政策。公告又提醒，附件以 Disk 服務存放的網站，應更換 secret_key_base 及應用程式可讀取的所有密鑰。漏洞由 HackerOne 研究員 ryotak 通報。

來源

• Possible arbitrary file write and read in Active Storage image analysis（Rails 官方安全公告）
• ImageMagick | Security Policy（ImageMagick 官方文件）
• Critical Rails Bug Threatens to Derail Vulnerable Servers（Dark Reading）