Em destaque: Falha crítica no Ruby on Rails expõe servidores a ataques

Uma falha de segurança de grau crítico foi descoberta no Ruby on Rails, uma tecnologia amplamente usada por programadores para criar sites e aplicativos. A vulnerabilidade afeta o Active Storage, o sistema que gerencia o envio de arquivos feitos pelos usuários. A brecha foi divulgada nesta semana pelo projeto Rails, uma comunidade de desenvolvedores de código aberto.

O problema foi rastreado sob o identificador “GHSA-f3w6-w445-fwh9″ e recebeu nota máxima de gravidade: 9.8 de 10 na escala de CVSS. De acordo com os desenvolvedores, o anexo de um arquivo malicioso já é suficiente para atingir a falha, sem necessidade que o sistema abra ou modifique a imagem.

A brecha explora o comportamento do ImageMagick na seleção de manipuladores de formato, conhecido como “coders”. O perigo ocorre porque o programa processava arquivos sem verificar regras de segurança adequadas. Essa ação permitia que um invasor enviasse uma imagem falsa disfarçada que enganava o sistema para acessar dados sigilosos e gravar arquivos maliciosos diretamente no servidor.

A falha foi descoberta e reportada por RyotaK, pesquisador da GMO Flatt Security, por meio da plataforma HackerOne. Uma vulnerabilidade, identificada como “GHSA-v924-7rp8-4mxh”, foi corrigida nos mesmos pacotes de atualização, informou o projeto Ruby on Rails, nos avisos oficias de segurança e nas notas de lançamento.

Para neutralizar ameaça o Ruby on Rails lançou as versões corrigidas 8.1.4.1 e 8.0.5.2, que passam incorporar por padrão a política de segurança restritiva para o ImageMagick. Ela bloqueia o uso do coder MSL, comandos do Ghostscript e outras funções de leitura indevidas de arquivos externos.

“Atualize para uma versão do App Store o mais rápido possível “, destaca o alerta oficial emitido pela equipe. Por outro lado, os desenvolvedores ressaltam que, caso o armazenamento utiliza o serviço Disk, os administradores devem alterar imediatamente todas as credenciais chaves mestras e credenciais do servidor para garantir a desativação de recursos de script e manipulação de arquivos locais.

Siga o TecMundo no X,, e YouTube e assine a para receber as principais notícias e análises diretamente no seu e-mail.

Quais tecnologias realmente fazem diferença na rotina da casa?

PEC da Segurança Pública: o que muda para a tecnologia das polícias?

Reiteramos nosso compromisso em indicar apenas produtos e promoções curados e selecionados pelos nossos especialistas, sempre levando em consideração a experiência dos nossos leitores.

Sempre verifique códigos e descontos. Lojas e marcas podem alterar ou encerrar ofertas a qualquer momento.