Ruby on Rails のパストラバーサルの脆弱性（CVE-2019-5418）

何が起きた

Web アプリを作るための仕組み Ruby on Rails の Action View という部品に、細工した Accept ヘッダーを送ると、サーバー上の任意の（攻撃者が選んだ）ファイルの中身を表示させられる弱点が見つかりました。この弱点は実際の攻撃で悪用されていることが確認されています。NVD の評価では、離れた場所からネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ruby on Rails で作った Web アプリのうち、render file: を使ってファイルを表示している部分があるものが対象です。NVD の説明では、Action View の 5.2.2.1 より前、5.1.6.2 より前、5.0.7.2 より前、4.2.11.1 より前、そして v3 が影響を受けるとされています。

何をすればいい

Rails の公式の案内を確認し、修正版の 5.2.2.1、5.1.6.2、5.0.7.2、4.2.11.1 以降に更新してください。すぐに更新できない場合は、Rails の案内にある回避策として、render file: を呼ぶところで formats: [:html] のように表示する形式を指定してください。

やることチェックリスト

• Rails を 5.2.2.1 などの修正版に更新する
• render file: を使っている箇所を探す
• render file: に formats を指定する

用語メモ

Accept ヘッダー

ブラウザなどがサーバーに「この形式のデータがほしい」と伝えるために、通信に付ける情報です。

Action View

Ruby on Rails の中で、画面に表示する内容を組み立てる部品です。