Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Una vulnerabilità critica in Active Storage di Ruby on Rails (CVSS 9.8) permette a un attaccante, anche senza account, di sfruttare immagini SVG malevole per leggere file e scrivere dati in posizioni arbitrarie sul server. A rischio password, chiavi di cifratura e token. Disponibili gli aggiornamenti correttivi.
Un file mascherato da immagine può costringere un server web a scrivere dati in una posizione scelta dall’attaccante. Gli sviluppatori di Ruby on Rails hanno corretto un errore critico in Active Storage, un componente per il caricamento di allegati. All’attaccante non serve un account utente se l’applicazione accetta file da utenti esterni e li elabora tramite ImageMagick.
Il team di Rails ha reso pubblico il problema il 4 novembre con l’identificatore GHSA-f3w6-w445-fwh9. La vulnerabilità ha ricevuto una valutazione critica di 9,8 punti secondo CVSS 3.0, ma al difetto non è stato ancora assegnato un numero CVE. In determinate configurazioni, Active Storage permette di scrivere file in posizioni arbitrarie e, in caso di archiviazione locale degli allegati, anche di leggere i dati accessibili all’applicazione.
La causa è legata ai gestori di formati ImageMagick. La libreria determina il gestore in base al contenuto del file e alcuni gestori sono in grado di lavorare con altri file sul disco. Active Storage non limitava la scelta. Un file SVG preparato appositamente poteva attivare il gestore di script MSL, che sa leggere e scrivere file tramite istruzioni incorporate.
Il meccanismo pericoloso si attiva già durante l’inserimento dell’allegato. Al sito non serve creare una miniatura, una anteprima o analizzare separatamente l’immagine. Sono a rischio le applicazioni che accettano file da utenti non fidati, utilizzano MiniMagick e non bloccano i formati pericolosi nella politica ImageMagick. Le impostazioni predefinite di Debian e Ubuntu non garantiscono tale blocco.
In caso di archiviazione degli allegati tramite Active Storage Disk, l’attaccante può leggere i file accessibili al processo dell’applicazione. Tra gli obiettivi possibili ci sono secret_key_base, chiavi di crittografia, password dei database e token di servizi esterni. La compromissione di segreti può aprire la strada all’esecuzione remota di codice o all’accesso a sistemi collegati.
L’errore riguarda Active Storage fino alla versione 8.0.5.2 e il ramo 8.1 fino a 8.1.4.1. Con load_defaults 6.1 e versioni precedenti, per impostazione predefinita viene utilizzato MiniMagick, mentre a partire da load_defaults 7.0 si usa solitamente libvips. Quest’estate un’altra vulnerabilità di Active Storage con libvips ha già iniziato a essere sfruttata su server reali. Non ci sono ancora conferme di attacchi tramite il nuovo difetto.
Le correzioni sono state incluse in Rails 8.0.5.2 e 8.1.4.1. Gli sviluppatori hanno aggiunto una politica di sicurezza che blocca MSL, altri gestori pericolosi e le chiamate a Ghostscript. Per il funzionamento della protezione è necessario mini_magick 5.1 o versione successiva. I rami più vecchi di Rails non sono supportati, quindi le applicazioni dovranno essere aggiornate oppure le regole dovranno essere trasferite manualmente nella configurazione di sistema di ImageMagick.
Nelle nuove versioni di Rails sono stati corretti in totale 21 problemi di sicurezza. Gli sviluppatori consigliano anche di cambiare secret_key_base, la chiave master, password e token se l’applicazione utilizzava Disk e poteva risultare vulnerabile. L’installazione dell’aggiornamento non rende sicuri i segreti precedentemente esposti. Le informazioni su attacchi reali tramite GHSA-f3w6-w445-fwh9 non sono presenti nella notifica.
RHC4Edu nasce dalla volontà della community di Red Hot Cyber di portare la cultura della cybersecurity, dell’intelligenza artificiale e del digitale direttamente nelle scuole, mettendo gratuitamente a disposizione degli studenti l’esperienza di professionisti, ricercatori e specialisti del settore. Il progetto è ufficialmente operativo e permette agli istituti interessati di richiedere workshop gratuiti e incontri con gli esperti della community, attraverso un coordinamento della redazione che mette in relazione le esigenze della scuola con le competenze e la disponibilità dei professionisti presenti sul territorio.
L’obiettivo di RHC4Edu non è trasformare gli studenti in tecnici informatici, ma aiutarli a sviluppare consapevolezza e pensiero critico davanti a un mondo sempre più digitale. Cybersecurity, truffe online, privacy, social network, cyberbullismo, fake news e intelligenza artificiale diventano così argomenti da affrontare con esempi concreti e con il contributo diretto di chi lavora quotidianamente nel settore. Un’iniziativa costruita sulla condivisione della conoscenza e sul volontariato della community, perché portare queste competenze nelle aule significa anche offrire ai ragazzi la possibilità di conoscere nuove professioni, sviluppare curiosità e imparare a vivere la tecnologia in modo più sicuro e consapevole.
Prenota il tuo workshop gratuito con gli esperti di Red Hot Cyber.