CVE-2024-26144

報告者

山崎 啓太郎
名古屋 謙彦

脆弱性の概要

Ruby on RailsのActiveStorageにおける機密情報の漏洩
異なるユーザーが同じ画像に2秒以内にアクセスした場合、先にアクセスしたユーザーの認証情報を後からアクセスしたユーザーとセッションを共有してしまう脆弱性

影響を受けるシステムおよびバージョン

Ruby on Rails
= 5.2.0, < 6.1.7.7
= 7.0.0, < 7.0.8.1

脆弱性が悪用された場合の影響

脆弱性が発生し悪用された場合、最初にアクセスしたユーザーの認証情報を
後からアクセスしたユーザーとセッションを共有してしまいます。

それにより以下の様な事が可能になります。

• ・プライバシー侵害
• ・なりすまし
• ・不正アクセス
• ・情報漏洩

対策と修正プログラムの情報

https://nvd.nist.gov/vuln/detail/CVE-2024-26144
https://github.com/advisories/GHSA-8h22-8cf7-hq6g