--- title: "Rails の activestorage 8.0.5.2 未満・8.1.4.1 未満で、ImageMagick の安全設定がなく、サーバー上のファイルを読み書きされる恐れ（CVE-2026-122006）: CVSS v3.1 9.8、修正版あり" url: https://n-t-p.io/worldsecurity/articles/rails-activestorage-cve-2026-122006-imagemagick-no-policy lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-122006 --- # Rails の activestorage 8.0.5.2 未満・8.1.4.1 未満で、ImageMagick の安全設定がなく、サーバー上のファイルを読み書きされる恐れ（CVE-2026-122006）: CVSS v3.1 9.8、修正版あり > **TL;DR:** Ruby on Rails の Active Storage（activestorage gem）で、ImageMagick の安全設定がないまま添付ファイルを処理するため、サーバー上のファイルの読み書き（例: secret_key_base の読み取り）が起こりうる（CVE-2026-122006、CWE-1188、CVSS v3.1 9.8）。8.0.5.2 と 8.1.4.1 で修正。 **要点** - 添付時に動く ImageMagick の処理にセキュリティポリシーがなく、サーバー上の読み書きが起こりうる（CVE-2026-122006）。 - CVSS v3.1 は 9.8。認証不要・ユーザー操作不要の想定のため severity は critical。 - 8.0.5.2 と 8.1.4.1 で修正された。それより前の版は更新が必要。 - 悪用の有無と、成立に必要な具体的設定は未確認。 Ruby on Rails の添付ファイル機能 Active Storage（activestorage gem）に、ImageMagick の処理まわりの脆弱性（CVE-2026-122006）が登録されました。2026-11-04 に NVD へ載り、登録元は MITRE です。NVD の状態は「Received」（NVD 自身の分析はまだ）です。 ## 何が起きるか - ImageMagick を使う添付処理では、ファイルを添付した時点で ImageMagick のアナライザーが動きます。このとき ImageMagick のセキュリティポリシー（使える機能を絞る設定）が無いため、意図しない機能が働きます（CWE-1188：不安全な初期設定）。 - 結果として、サーバー上のファイルの読み取りや書き込みが起こりえるとされます。NVD の記述には `secret_key_base` の読み取りが例として挙がっています。 - CVSS v3.1 では、ネットワークから、認証なし・ユーザー操作なしで悪用できる想定です。ただし、実際にどの条件で成立するか（ImageMagick を使う設定か、攻撃者がファイルを添付できる画面があるか）は、公開情報では細かく確認できていません。 ## 数値と severity - CVSS v3.1 は 9.8（CRITICAL）。ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。この値は NVD ではなく登録元（MITRE）が付けたものです。 - 認証不要で CVSS 9 以上のため、severity は critical とします。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける版と修正 - NVD の登録データでは、activestorage 8.0.5.2 より前、および 8.1 系の 8.1.4.1 より前が影響を受けます。 - 修正版は 8.0.5.2 と 8.1.4.1 です。Rails のリリースタグが公開されています。 - 7.x 以前の系統が対象かどうかは、登録データの範囲（「0 から 8.0.5.2 未満」）からは含まれるように読めますが、Rails 側の保守状況は未確認です。 ## 対策 - Rails を 8.0.5.2 または 8.1.4.1 以降に更新する。 - 更新までの間の対応として、次のようなものが考えられます（公式の指示ではありません）。 - ImageMagick のセキュリティポリシー（policy.xml）を設定し、不要な機能を無効にする。 - 画像処理に ImageMagick を使わない設定（libvips など）に切り替えられるか検討する。 - 外部の利用者がファイルを添付できる画面を、更新まで一時的に絞る。 - `secret_key_base` が読み取られた可能性がある環境では、更新後に値の入れ替えを検討する。 ## 未確認の点 - 悪用の有無と、攻撃コードの公開状況。 - 成立に必要な具体的な設定（ImageMagick の版や設定）。 - 7.x 以前の系統への修正の有無。 - NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-122006 - Ruby on Rails リリース v8.0.5.2 / v8.1.4.1 - Rails の GitHub セキュリティ勧告 GHSA-f3w6-w445-fwh9（参照先として確認。本文の内容は未取得） ## 出典 - [NVD CVE-2026-122006](https://nvd.nist.gov/vuln/detail/CVE-2026-122006) — NIST NVD - [Rails v8.1.4.1 リリース](https://github.com/rails/rails/releases/tag/v8.1.4.1) — Ruby on Rails - [Rails v8.0.5.2 リリース](https://github.com/rails/rails/releases/tag/v8.0.5.2) — Ruby on Rails - [Rails GitHub セキュリティ勧告 GHSA-f3w6-w445-fwh9](https://github.com/rails/rails/security/advisories/GHSA-f3w6-w445-fwh9) — Ruby on Rails --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/rails-activestorage-cve-2026-122006-imagemagick-no-policy