# Vulnérabilité critique dans Rails Active Storage via ImageMagick

_Publié le 7 novembre 2026 — https://ip73.fr/2026/11/07/vulnerabilite-critique-dans-rails-active-storage-via-imagemagick/_

Un attaquant sans authentification peut provoquer l'écriture et la lecture de fichiers sur un serveur hébergeant une application Ruby on Rails si celle-ci utilise ImageMagick pour le traitement des pièces jointes, selon l'avis de sécurité de github.com. Ce défaut critique, référencé sous GHSA-f3w6-w445-fwh9, menace l'intégrité du système et peut exposer des secrets sensibles, comme la clé de base de l'application ou les identifiants de systèmes externes.

La faille réside dans la manière dont Active Storage, le module gérant les téléchargements de fichiers, interagit avec ImageMagick. Ce dernier utilise des « coders » pour interpréter le contenu d'un fichier ; certains de ces coders permettent d'opérer sur des noms de fichiers internes plutôt que sur l'image elle-même. Puisqu'Active Storage ne restreignait pas l'usage de ces coders, un attaquant pouvait déclencher des opérations dangereuses simplement en téléchargeant un fichier spécialement conçu. Il n'était même pas nécessaire d'initier une opération de variante ou d'analyse pour atteindre cette vulnérabilité.

L'impact potentiel est sévère. En écrivant des fichiers arbitraires, un acteur malveillant peut potentiellement accéder à des informations critiques stockées sur le serveur. Si les pièces jointes sont conservées via le service Disque d'Active Storage, l'attaquant peut lire des fichiers lisibles par le processus de l'application, incluant `secret_key_base` ou les crédentiels de bases de données. Ces données exposées peuvent ensuite mener à une exécution de code à distance ou à un mouvement latéral vers d'autres systèmes.

Pour qu'une application soit affectée, trois conditions doivent être réunies : elle utilise ImageMagick pour le traitement des images via `config.active_storage.variant_processor = :mini_magick` ; sa politique de sécurité ImageMagick n'empêche pas les coders en cause ; et elle accepte des fichiers provenant d'utilisateurs non fiables.

L'équipe Rails a publié des correctifs dans les versions 8.1.4.1 et 8.0.5.2. Ces mises à jour intègrent une politique de sécurité ImageMagick plus restrictive, qui bloque les coders dangereux. Le passage à ces versions est fortement recommandé. De plus, si votre application utilise le processeur de variante `:mini_magick`, il faut impérativement maintenir une version de `MiniMagick` égale ou supérieure à 5.1, car les versions antérieures provoquent une exception au démarrage après l'application du correctif Rails.

## Les pistes de remédiation et les contraintes techniques

En plus de la mise à jour vers les versions sécurisées, les développeurs disposent de solutions de contournement si la mise à niveau immédiate n'est pas envisageable. Ils peuvent copier les règles de politique envoyées par les versions corrigées dans la politique système d'ImageMagick, en ajoutant des lignes pour nier explicitement les coders MSL, Ghostscript et le délégué gs. Il est important de préciser que l'application de cette politique par le correctif Rails s'étend à toutes les commandes ImageMagick exécutées par MiniMagick, et non uniquement à celles d'Active Storage.

Pour les applications qui traitent des fichiers PostScript ou PDF, il pourrait être nécessaire de réautoriser le délégué gs et les coders qu'il utilise dans la politique hôte. De surcroît, si des fichiers sont stockés sur le disque, il est conseillé de renouveler immédiatement toute clé secrète exposée, y compris les identifiants de stockage et les jetons tiers.

Socket, pour les équipes n'ayant pas la possibilité de mettre à jour immédiatement, a mis à disposition un correctif certifié gratuit pour cette vulnérabilité, offrant une solution temporaire en attendant la migration vers une version supportée de Rails. Il faut cependant considérer cet ajout comme une mesure palliative, car l'objectif reste de passer à une version stable et patchée.

Le risque de cette faille est tel que son score CVSS est estimé à 9,8 sur 10, ce qui place cette vulnérabilité dans une catégorie de très haute criticité pour quiconque dépend de ces composants dans son stack technique.

## Sources

- [Possible arbitrary file write and read in Active Storage image analysis](https://github.com/rails/rails/security/advisories/GHSA-f3w6-w445-fwh9), github.com
- [Free Certified Patch for Critical Rails Active Storage Vulnerability](https://socket.dev/blog/rails-active-storage-patch?utm_medium=feed), Socket, 6 novembre 2026
- [Critical Rails Bug Threatens to Derail Vulnerable Servers](https://www.darkreading.com/application-security/critical-rails-bug-derail-vulnerable-servers), Dark Reading, 4 novembre 2026
- [Critical Rails Flaw Lets Attackers Write Server Files via Crafted ImageMagick Uploads](https://thehackernews.com/2026/11/critical-rails-flaw-lets-attackers.html), The Hacker News, 4 novembre 2026