Ruby On RailsのActive Storageを利用したファイルアップロードに関する脆弱性が報告されました。

CVE-2026-122006：Active Storageの画像解析において、任意のファイルの書き込みや読み取りが可能になる脆弱性（Ruby On Railsセキュリティアドバイザリ）

本脆弱性はActive Storageに限らず、アップロードされたファイルの画像処理にImageMagickを使用している場合にも、処理方法や設定によっては同様の攻撃が成立する可能性があります。

悪用された場合、細工されたファイルのアップロードにより、サーバー上の任意のファイルが不正に書き込まれたり、読み取られたりする可能性があります。

JoruriMail2022では、Active Storageを使用しておりません。メール作成時の添付ファイルのアップロードにはImageMagickを使用しておりますが、調査の結果、今回報告された攻撃の成立する処理経路には該当しないと判断しております。また、メールを作成するには、管理画面へのログインが必要です。

以上のことから、JoruriMail2022における本件の緊急度は低いと判断しております。

Ruby on Railsのセキュリティアドバイザリでは、回避策としてImageMagickのpolicy.xmlを変更する方法が提示されています。JoruriMail2022をご利用の環境においても、予防的なセキュリティ対策として、同様の設定変更を実施できます。
手順は以下のとおりです。

ImageMagick_policy設定変更[TXT：536Bytes]

本設定は、予防的なセキュリティ対策として、必要に応じてご実施ください。

次回リリース時に対応を予定しています。