Rails Active Storage 嚴重漏洞：ImageMagick 上載分析可導致任意檔案寫入

情報摘要

Rails 於 11 月 4 日發布 8.0.5.2 及 8.1.4.1，修補 21 項安全問題。其中 GHSA-f3w6-w445-fwh9 影響特定 Active Storage／ImageMagick 部署，可讓未認證攻擊者寫入伺服器檔案；使用 Disk service 時，亦可能讀取應用程序有權讀取的檔案。

受影響應用須同時使用 ImageMagick 處理 Active Storage 影像、其政策未封鎖相關 coder，並容許不可信使用者上載。load_defaults 6.1 或更早的應用預設使用 mini_magick；官方指出 Debian／Ubuntu 隨附政策不足以封鎖相關 coder。

附件附加時已會進行分析，不能以沒有產生 variant 或 preview 判斷安全。Disk service 情境下的機密外洩，可能進一步導致遠端程式碼執行或橫向移動，並非每次上載均必然造成這些後果。

自訂 MiniMagick 執行環境可能令隨附政策未生效；GraphicsMagick 亦不讀取 ImageMagick 政策。需處理 PDF／PostScript 的應用應依公告檢視相容性及安全政策，避免未評估便放寬限制。

Rails 官方指出 8.0 系列安全支援於 2026 年 11 月 7 日結束，更舊系列已不受支援。編輯建議：8.0 用戶修補當前漏洞之餘，應安排遷移至仍受安全支援的系列。

受影響產品

activestorage 早於 8.0.5.2 的版本，以及 8.1 起至早於 8.1.4.1 的版本；仍須同時符合公告列出的 ImageMagick 設定、政策及上載條件。

適用讀者

維護 Rails 應用、Active Storage 上載功能及影像處理服務的香港開發與營運團隊

建議行動

盡快升級至 activestorage 8.0.5.2 或 8.1.4.1；使用 mini_magick 處理器者同時須採用 mini_magick 5.1 或以上，並確認隨修補版提供的 ImageMagick 安全政策實際生效。未能即時升級時，依官方公告將修補版政策套用至系統政策。使用 Disk service 的受影響部署，應按公告輪換 secret_key_base 及應用程序可讀取的所有機密，不保留已暴露的舊機密作後備。

風險評級依據

採用 Rails 官方 GHSA-f3w6-w445-fwh9 的 Critical 評級，CVSS 3.0 為 9.8，向量為 CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H；不是對本次全部 21 項問題的共同評分。

解讀限制

已核對的 Rails 官方公告沒有確認野外活躍利用；未核實香港受害個案或部署數量。

截至本次核對，GHSA 頁面未列已知 CVE 編號。官方公告日期是 11 月 4 日，本站香港編輯日期是 11 月 5 日；未有可核實的首次攻擊日期。

資料來源

• Rails：GHSA-f3w6-w445-fwh9，Active Storage image analysis ↗來源刊登：2026-11-04
• Rails：8.0.5.2 及 8.1.4.1 安全版本發布 ↗來源刊登：2026-11-04