Skip to content
Hacker Posts

Rails 8.0.5.2 et 8.1.4.1 corrigent 21 failles, dont une critique dans Active Storage

Les versions de sécurité Rails 8.0.5.2 et 8.1.4.1 corrigent 21 avis, dont une écriture/lecture de fichier arbitraire critique dans Active Storage. Le CERT-FR a publié l'avis AVI-1452.

Publié le 2 min de lecture
alerterailsruby

Ruby on Rails a publié deux versions de sécurité, 8.0.5.2 et 8.1.4.1, qui corrigent 21 avis de sécurité. Le détail est dans le billet officiel de l'équipe Rails (04 novembre) ; le CERT-FR a relayé l'ensemble dans l'avis CERTFR-2026-AVI-1452. Rails n'attribue pas de CVE à ces correctifs : il utilise des identifiants GHSA.

Versions affectées

  • Rails 8.x antérieures à 8.1.4.1
  • Rails antérieures à 8.0.5.2

Les branches plus anciennes ne sont plus maintenues ; Rails recommande de passer au minimum sur la série 8.0.

Les correctifs qui comptent

Parmi les 21 avis, deux concentrent le risque, tous deux dans Active Storage :

  • Critique — GHSA-f3w6-w445-fwh9 : écriture et lecture de fichier arbitraires lors de l'analyse d'images.
  • Élevée — GHSA-v924-7rp8-4mxh : lecture de fichier arbitraire et exécution de code à distance via les prévisualisations vidéo, l'analyse et le traitement d'images.

Le reste couvre un contournement de Strong Parameters dans Action Pack (GHSA-wm3x-v3qw-4jh3), de l'usurpation d'IP dans RemoteIp (8.1 uniquement), plusieurs XSS dans Action View, et une série de dénis de service (Active Support safe_constantize, streaming Action Controller, gestion des noms de fichiers Active Storage). La liste complète, avec les correctifs par avis, est dans le billet Rails.

Exploitation

Aucune exploitation en conditions réelles n'est rapportée à ce stade. Le risque immédiat vient de la faille Active Storage critique : les applications qui traitent des images ou des vidéos téléversées par des utilisateurs exposent la surface la plus directe.

Que faire

  1. Mettre à jour vers 8.1.4.1 (branche 8.1) ou 8.0.5.2 (branche 8.0) sans attendre.
  2. Si la montée de version est bloquée, appliquer les correctifs individuels : chaque avis GHSA pointe vers son patch, utilisable à chaud.
  3. Prioriser les applications qui utilisent Active Storage sur du contenu téléversé — c'est là que porte la faille critique.
  4. Vérifier l'usage de Concurrency::run() et des helpers Action View concernés si vous dépendez de fonctionnalités 8.1 spécifiques.

Contexte

C'est le deuxième train d'avis Rails relayé par le CERT-FR récemment, après les injections SQL de Trilogy que nous avions couvertes dans Rails / Trilogy : injection SQL (GHSA-744p, CERT-FR AVI-1424). Le motif se répète : Active Storage, qui manipule des fichiers fournis par l'utilisateur, reste le sous-système où une faille se transforme le plus vite en écriture de fichier ou en exécution de code. Les équipes qui différent les montées de version mineures de Rails accumulent précisément ce type de dette.

Articles liés