公開日 2026年11月09日
更新日 2026年11月09日
Ruby on RailsのActive Storageを利用したファイルアップロードに関する脆弱性が報告されました。
CVE-2026-122006：Active Storageの画像解析での任意のファイルの書き込みや読み取りが可能になる脆弱性（Ruby on Railsセキュリティアドバイザリ）
本脆弱性は、Active Storageによる画像解析処理において、ImageMagickの一部の機能が適切に制限されていないことに起因します。
Active Storageを利用していない場合でも、アップロードされたファイルの画像処理にImageMagickを使用している環境では、処理方法や設定によっては同様の攻撃が成立する可能性があります。
悪用された場合、細工されたファイルのアップロードにより、サーバー上のファイルが不正に書き込まれたり、読み取られたりする可能性があります。
JoruriCMS2020ではActive Storageを利用しておりませんが、公開画面の問合せフォームにおける添付ファイルの処理にImageMagickを使用しております。
ソースコードを調査した結果、今回報告された攻撃が成立する可能性のある処理経路が存在することを確認しました。
ただし、実際に攻撃が成立するかどうかについては、再現検証を実施しておりません。
なお、管理画面にもファイルアップロード機能がございますが、こちらの機能を利用するには管理画面へのログインが必要です。
Ruby on Railsのセキュリティアドバイザリでは、回避策としてImageMagickの設定ファイル（policy.xml）を変更する方法が提示されています。
JoruriCMS2020においても、セキュリティリスクを低減するため、同様の設定変更を推奨いたします。
※ImageMagickの設定ファイルを変更することにより、CMSの機能が制限されることはございません。
設定変更の手順は以下のとおりです。