ثغرة حرجة في Rails تعرّض خوادم الويب للهجمات

قد تؤدي ثغرة حرجة في Rails إلى اختراق شديد لخوادم الويب التي تستخدم إطار العمل هذا.

Rails، أو Ruby on Rails، هو إطار عمل لتطبيقات الويب مبني على لغة Ruby. يدير مكوّنه Active Storage عمليات رفع الملفات ويتكامل مع مجموعة معالجة الصور ImageMagick. ويسمح خلل في هذا التكامل للمهاجمين بكتابة ملفات عشوائية على خادم الويب عبر ImageMagick.

تحمل هذه الثغرة، المسجلة بالمعرّف GHSA-f3w6-w445-fwh9، درجة CVSS تبلغ 9.8، ما يدل على خطورتها. إذ يمكن للمهاجم رفع ملف صورة مصمم خصيصاً لكتابة ملفات عشوائية وقراءة معلومات حساسة والوصول إلى أسرار مثل ملفات secret_key_base وكلمات مرور قواعد البيانات ورموز الأطراف الثالثة. وقد يسهّل هذا الوصول الحركة الجانبية أو تنفيذ تعليمات برمجية عن بُعد في أنظمة خارجية.

جاء في إرشاد نشرته الجهة القائمة على صيانة Rails على GitHub: «قد يسمح تطبيق Rails الذي يعالج المرفقات باستخدام ImageMagick لمهاجم غير موثّق بكتابة ملفات عشوائية على الخادم، وعند تخزين المرفقات عبر خدمة Disk، بقراءة ملفات عشوائية يمكن لعملية التطبيق قراءتها».

تنشأ الثغرة لأن ImageMagick يعالج الملفات بناءً على محتواها لا على أسمائها أو امتداداتها. وهذا يسمح للمهاجم برفع ملف صورة باسم «maliciousfile.jpeg» يحتوي على محتوى يدفع ImageMagick إلى استدعاء مُرمِّز (coder) مختلف، ما قد يتيح قراءة أو كتابة ملفات عشوائية على الخادم.

تشمل إصدارات Active Storage المتأثرة كل ما سبق الإصدارين 8.0.5.2 و8.1.4.1. وقد تكون المؤسسات التي تشغّل تطبيقات Rails تستخدم ImageMagick لمعالجة صور Active Storage معرّضة للخطر إذا لم تحجب سياساتها الأمنية المُرمِّزات المتأثرة وإذا كانت تقبل رفع ملفات من مستخدمين غير موثوقين.

تتوفر الآن تحديثات إصلاحية لـ Active Storage. كما يتضمن إرشاد GitHub متطلبات تخفيف المخاطر للتطبيقات التي تستخدم MiniMagick وImageMagick.

علاوة على ذلك، إذا كان التطبيق يخزّن المرفقات عبر خدمة Disk، يُنصح المستخدمون بتغيير secret_key_base وجميع الأسرار التي يمكن لعملية التطبيق قراءتها، بما في ذلك المفتاح الرئيسي ومحتويات config/credentials.yml.enc، إضافة إلى بيانات اعتماد التخزين وقواعد البيانات. ولا ينبغي للمستخدمين الاحتفاظ بالأسرار المكشوفة كخيار احتياطي.

ولمن يحتاج إلى حل بديل، توفر صفحة GitHub قواعد نظام يمكن تطبيقها على سياسة نظام ImageMagick.

أفاد جيك نوت، رئيس استخبارات التهديدات لدى شركة watchTowr لإدارة التعرّض، بأن الشركة أعادت إنتاج الثغرة في بيئة مختبرية، ما يشير إلى أن استغلالها ضد الهدف المناسب قد يكون سهلاً.

وأعرب نوت عن قلقه من احتمال ظهور تعليمات برمجية لاستغلال الثغرة (proof-of-concept) علناً في غضون أيام، قائلاً: «بالنسبة للمهاجمين، من المرجح أن إعادة إنتاج الثغرة هنا هي الجزء السهل، لأن الأنماط والأساسيات المتعلقة بالاستغلال راسخة. أما الجزء الصعب فهو العثور على برمجيات وعمليات نشر شائعة بما يكفي ومهيأة بطريقة معرّضة للخطر لتحقيق تأثير واسع النطاق دون تمييز».

المصدر: Dark Reading