Rails CVE-2026-122006はCritical―Active Storageの画像解析でファイル操作、秘密情報の確認も

Railsは2026年11月4日、Active Storageの脆弱性CVE-2026-122006を公表しました。CVE登録機関MITREのCVSS v3.1評価は9.8、Critical。対象はactivestorage 8.0.5.2未満と、8.1.0以上8.1.4.1未満で、修正版は8.0.5.2／8.1.4.1です。

成立条件は、variant_processorがmini_magickで、ImageMagickのポリシーが攻撃に使う形式を禁止しておらず、信頼できないファイルを添付できることです。load_defaultsが6.1以前の構成はmini_magickが既定値。DebianやUbuntuの標準ポリシーだけでは防げません。添付後の自動解析が入口となるため、画像の変換やプレビューを明示的に呼ばない場合も影響します。

細工したファイルの解析から任意ファイルへの書き込みが可能です。Diskサービスではアプリが読めるファイルの読み出しも可能になり、秘密鍵や認証情報の窃取、さらにコード実行などにつながるおそれがあります。これは成立可能な攻撃経路の報告で、公式告知に実被害の確認は記載されていません。

修正版はImageMagickの制限ポリシーを追加します。mini_magickを使う場合は同gemも5.1以上が必要です。MiniMagick.cli_envを起動後に上書きする処理、環境変数を消すラッパー、独自のMiniMagick::Shell呼び出しでは制限が適用されない場合があり、システム側のポリシー設定が必要です。PDF処理などへの影響も公式案内に沿って確認してください。

Disk構成について、Railsはアプリから読み出せる秘密情報のローテーションを案内しています。secret_key_base、master key、credentials内の認証情報、ストレージ・DBの資格情報が対象です。更新だけで過去の漏えい可能性は解消しないため、旧秘密鍵をフォールバック用に残さず、秘密情報の交換まで進める必要があります。