Tim Rails menerbitkan advisori GHSA-f3w6-w445-fwh9 pada 4 November 2026 untuk celah kritis di Active Storage, komponen unggah berkas pada framework Ruby tersebut. Rails memberi skor CVSS 9,8. Seorang peneliti HackerOne dengan nama ryotak melaporkannya secara bertanggung jawab, dan The Hacker News menyebut pelapornya adalah RyotaK dari GMO Flatt Security. Advisori resmi menyatakan belum ada nomor CVE untuk celah ini.
Siapa yang terdampak dan apa risikonya
Versi terdampak adalah Active Storage sebelum 8.0.5.2 dan seri 8.1 sebelum 8.1.4.1. Seri yang lebih tua dari 8.0 tidak lagi didukung, jadi tidak akan menerima perbaikan. Aplikasi hanya rentan bila tiga syarat terpenuhi sekaligus: memakai ImageMagick lewat config.active_storage.variant_processor = :mini_magick (bawaan untuk load_defaults 6.1 atau lebih lama), kebijakan ImageMagick di server tidak memblokir coder yang terlibat, dan aplikasi menerima unggahan dari pengguna yang tidak tepercaya. Menurut The Hacker News, kebijakan bawaan Debian dan Ubuntu tidak memblokirnya.
Cukup melampirkan berkas unggahan untuk memicu celah ini. Dampaknya berupa penulisan berkas sembarang di server. Pada aplikasi yang memakai layanan Disk, penyerang juga bisa membaca berkas yang dapat dibaca aplikasi, termasuk secret_key_base dan kredensial, yang berpotensi membuka jalan ke eksekusi kode atau gerak lateral. Advisori tidak menjelaskan cara memeriksa apakah sebuah aplikasi sudah pernah disasar, dan sumber yang kami baca tidak melaporkan eksploitasi di lapangan.
Rilis yang sama juga memuat celah lain, GHSA-v924-7rp8-4mxh (CVSS 8,8), soal nama berkas sementara yang mempertahankan ekstensi unggahan sehingga memengaruhi pemilihan decoder di ImageMagick dan FFmpeg. Menurut sebuah ulasan di DEV Community, rilis ini menutup 21 isu keamanan secara keseluruhan, dan dukungan keamanan Rails 8.0 berakhir pada 7 November.
Langkah yang perlu Anda ambil
Perbarui ke Rails 8.1.4.1 atau 8.0.5.2. Aplikasi yang memakai :mini_magick juga memerlukan mini_magick 5.1 atau lebih baru. Setelah itu, pastikan kebijakan baru benar-benar termuat dengan perintah yang disarankan advisori: bin/rails runner 'puts MiniMagick.identify { |i| i.list "policy" }'. Periksa juga berkas policy.xml milik server Anda, karena aturan lokal bisa mengizinkan kembali coder yang diblokir. Aplikasi yang memakai GraphicsMagick tidak mendapat perlindungan dari kebijakan bawaan.
Bila belum bisa memperbarui, salin aturan dari policy.xml bawaan Rails ke kebijakan sistem ImageMagick. Minimal, blokir coder MSL, coder berbasis Ghostscript, dan delegate gs. Jika ada kemungkinan rahasia di layanan Disk sempat terbaca, putar ulang secret_key_base dan rahasia lain yang bisa dibaca proses aplikasi. Tim yang menjalankan seri 8.0 sebaiknya sekalian merencanakan pindah ke 8.1, yang menurut ulasan tadi didukung hingga 10 Oktober 2027.
Catatan untuk pengelola framework lain
Pola ini bukan hal baru: pustaka pemroses gambar di sisi server sering menjadi pintu masuk lewat unggahan pengguna. Pengelola aplikasi Python bisa membandingkan dengan rilis keamanan Django pekan ini, dan siapa pun yang menerima unggahan gambar sebaiknya meninjau kebijakan pemroses gambarnya, bukan hanya versi framework.
Sumber: advisori resmi Rails GHSA-f3w6-w445-fwh9, The Hacker News, dan DEV Community. Gambar: The Hacker News.