Vulnerabilidade de Solicitação de Forja do Lado do Servidor (SSRF) no paperclip

A exploração bem-sucedida da vulnerabilidade SSRF em Paperclip permite que um atacante realize requisições HTTP a partir do servidor, como se fossem originadas da aplicação. Isso significa que o atacante pode acessar recursos internos que normalmente não seriam acessíveis externamente, como servidores de banco de dados, serviços de administração ou outros sistemas internos. O impacto pode variar desde a exposição de informações confidenciais até a possibilidade de execução remota de código, dependendo da configuração da rede e dos serviços internos expostos. Essa vulnerabilidade se assemelha a outras falhas SSRF, onde a aplicação não valida adequadamente os URLs fornecidos pelo usuário, permitindo que sejam utilizados para acessar recursos não intencionais.

Applications that rely on the Paperclip gem for file handling and image processing are at risk. This includes websites and web applications that allow users to upload files, particularly those that do not adequately validate the URLs used in the file processing pipeline. Ruby on Rails applications are particularly susceptible due to Paperclip's widespread adoption within the framework.

• ruby / gem: Check gem versions using gem list. Look for versions <= 5.1.0.

gem list paperclip

• ruby / application: Examine application code for instances where Paperclip is used to process user-supplied URLs. • generic web: Monitor application logs for unusual outbound requests to internal network addresses. • generic web: Implement rate limiting on URL processing to detect potential SSRF attempts.

1. 2018-01-22Disclosure

   disclosure

1. Publicada2018-01-22
2. Modificada2023-11-08
3. EPSS atualizado2026-04-02

A mitigação primária para a vulnerabilidade CVE-2017-0889 é a atualização para a versão 5.2.0 do gem Paperclip, que corrige a falha SSRF. Se a atualização imediata não for possível, considere implementar medidas de mitigação adicionais, como restringir o acesso à rede a partir da aplicação, utilizando firewalls ou listas de permissão para controlar quais URLs podem ser acessados. Além disso, valide rigorosamente todos os URLs fornecidos pelo usuário antes de utilizá-los em requisições HTTP. Em ambientes de desenvolvimento, desative o acesso à rede externa para evitar a exploração acidental da vulnerabilidade.