Rails 8.0.5.2 und 8.1.4.1 beheben 21 Sicherheitslücken, eine kritische in Active Storage
Serguey Asael Shinder1 Min. LesezeitDas Rails-Team hat Rails 8.0.5.2 und 8.1.4.1 veröffentlicht, Sicherheitsupdates für 21 Probleme. Als kritisch eingestuft ist GHSA-f3w6-w445-fwh9, ein mögliches beliebiges Schreiben und Lesen von Dateien bei der Bildanalyse in Active Storage. Ein zweites Active-Storage-Problem mit hoher Einstufung erlaubt möglicherweise das Lesen beliebiger Dateien und Codeausführung bei Videovorschau, Analyse und Bildverarbeitung.
Drei weitere Lücken gelten als hoch: eine mögliche Umgehung von Strong Parameters in Parameters#each_key in Action Pack, mögliches IP-Spoofing in Action Dispatch RemoteIp über den Forwarded-Header (nur 8.1) und ein möglicher Denial of Service in Active Support safe_constantize. Zur mittleren Gruppe gehören vier XSS-Lücken in den Action-View-Helfern für Text, Hervorhebung, strip_tags und Tags, eine im MessagePack-Serializer von Active Support (nur 8.1), DoS-Fehler im Live-Streaming von Action Controller sowie im Proxy-Modus und bei Dateinamen in Active Storage und ein unsignierter Content-Type sowie nicht durchgesetzte Größenlimits bei Direkt-Uploads zu Google Cloud Storage.
Mehrfach geht es um Sessions: Eine zerstörte Session konnte vom CacheStore wiederhergestellt werden, der Proxy-Modus von Active Storage konnte Session-Informationen preisgeben, und die Session-Stores setzten das SameSite-Attribut ihrer Cookies nicht. Auf der Liste stehen außerdem Cache Poisoning über Content Negotiation und Signatur-Replay im Mailgun-Eingang von Action Mailbox.
Das Team empfiehlt dringend ein schnelles Update. Ältere Versionen werden nicht mehr unterstützt, und die Sicherheitsunterstützung für die 8.0-Reihe endet am 7. November 2026, drei Tage nach dieser Veröffentlichung. Jede Meldung verlinkt Patches für Teams, die nicht sofort aktualisieren können.
Was das bedeutet
Anwendungen, die Nutzer-Uploads mit Active Storage verarbeiten, sollten das als Notfall-Update behandeln. Wer noch auf 8.0 ist, hat in derselben Woche eine zweite Frist: Nach dem 7. November kommen Korrekturen nur noch für 8.1.