CVE-2025-24293 in activestorage Gem
要約
〜によって VulDB • 2026年07月20日
# Active Storage の画像変換メソッドに潜在的な安全性の問題があった
Active Storage は、デフォルトで潜在的に安全でない画像変換メソッドやパラメータの使用を防ぐよう努めています。
既定の許可リストには、安全な既定値を回避できる3つのメソッドが含まれており、これにより、任意の入力が有効な変換メソッドまたはパラメータとして受け入れられる場合に、コマンドインジェクション脆弱性が発生する可能性があります。
影響 ------ この脆弱性は、画像プロセッサとして mini_magick とともに image_processing 処理 gem を使用して Active Storage を利用しているアプリケーションに影響を与えます。
脆弱なコードは以下のようなものになります： ``` <%= image_tag blob.variant(params[:t] => params[:v]) %>
```
ここで、変換メソッドまたはその引数は信頼できない任意の入力です。
影響を受けるリリースを実行中のすべてのユーザーは、直ちにアップグレードするか、以下の回避策のいずれかを使用してください。
回避策 ----------- 画像変換メソッドやそれらのパラメータとしてユーザ入力を消費することはサポートされていない動作であり、危険であると見なすべきです。
信頼できない方法とパラメータに対して厳格な検証を行うことに加え、強力な [ImageMagick セキュリティポリシー](https://imagemagick.org/script/security-policy.php) を導入する必要があります。
クレジット -------
この問題を報告してくれた [lio346](https://hackerone.com/lio346) に感謝します！
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.