Rails Active Storage tiene una posible vulnerabilidad de DoS en modo proxy a través de solicitudes de múltiples rangos

El impacto principal de esta vulnerabilidad es la posibilidad de una denegación de servicio. Un atacante puede sobrecargar el servidor con solicitudes que consumen una cantidad excesiva de recursos de CPU, lo que puede hacer que la aplicación Active Storage sea inaccesible para usuarios legítimos. Esto puede interrumpir el funcionamiento de aplicaciones web que dependen de Active Storage para el almacenamiento y la gestión de archivos. La explotación no implica la exposición de datos sensibles, pero sí la indisponibilidad del servicio. La magnitud del impacto dependerá de la capacidad del servidor para manejar la carga adicional y de la criticidad de Active Storage para la aplicación.

Applications using Ruby on Rails Active Storage versions 8.1.2 and earlier are at risk. This includes web applications that heavily rely on file uploads and serving through Active Storage, particularly those with publicly accessible file storage. Shared hosting environments utilizing older Ruby on Rails versions are also particularly vulnerable.

• ruby / server:

ps aux | grep 'ActiveStorage::ProxyController' | grep -c 'byte range'

• ruby / server:

journalctl -u puma -g 'ActiveStorage::ProxyController' | grep 'byte range'

• generic web:

curl -I <active_storage_url> | grep 'Range:'

1. 2026-03-25Disclosure

   disclosure

2. 2026-03-25Patch

   patch

1. Reservado2026-03-23
2. Publicada2026-03-25
3. Modificada2026-03-30
4. EPSS actualizado2026-04-03

La mitigación principal para esta vulnerabilidad es actualizar Active Storage a la versión 8.1.2.1 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda implementar medidas temporales para limitar el número de rangos de bytes permitidos en las solicitudes HTTP. Esto se puede lograr mediante la configuración de un servidor proxy o WAF (Web Application Firewall) para filtrar solicitudes con un número excesivo de rangos. Además, monitorear el uso de la CPU del servidor puede ayudar a detectar y responder a ataques DoS.