CVE-2014-0130

Falha de directory traversal (CWE-22) no mecanismo de implicit render do Action Pack, o componente MVC do Ruby on Rails. Um atacante remoto não autenticado pode ler arquivos arbitrários acessíveis ao processo da aplicação, mas isso só ocorre em aplicações que usam rotas com "route globbing" (segmentos wildcard) — não é toda app Rails vulnerável, só uma configuração de roteamento específica. Está no catálogo KEV da CISA desde 2022, o que indica que instalações legadas nunca corrigidas continuam sendo alvo de scanning em massa quase uma década depois da publicação.

O bug está em actionpack/lib/abstract_controller/base.rb, na lógica de implicit render: quando uma action não define explicitamente qual template renderizar, o Rails tenta resolver automaticamente o caminho do template com base nos parâmetros da requisição. Em rotas configuradas com globbing (segmentos que capturam partes variáveis do path, tipicamente usados para URLs flexíveis tipo wildcard), o valor capturado nesse segmento é incorporado ao caminho do template sem sanitização das sequências de travessia de diretório.

O atacante controla o conteúdo do segmento glob da URL. Ao inserir sequências de "../" nesse segmento, ele desloca a resolução do template para fora do diretório de views esperado, fazendo o Rails tentar processar/exibir um arquivo arbitrário do sistema de arquivos acessível ao processo da aplicação — código-fonte, arquivos de configuração, credenciais, dependendo do que estiver no disco e das permissões do processo.

A falha não depende de autenticação nem de estado de sessão: é um problema de resolução de path no fluxo de request, exposto a qualquer requisição HTTP que caia numa rota com essa configuração. A pré-condição decisiva é o uso de route globbing — aplicações que só usam rotas RESTful convencionais (resources, match explícito sem wildcard) não expõem esse caminho de código vulnerável mesmo estando em versão afetada.

O vetor é uma única requisição HTTP, sem autenticação, direcionada a uma rota da aplicação que usa globbing. O atacante manipula o segmento capturado pela rota inserindo sequências de travessia de diretório para apontar a resolução do template para um arquivo fora da árvore de views — o resultado prático é a app tentando "renderizar" (e nesse processo, expor) o conteúdo de um arquivo arbitrário legível pelo processo Ruby.

Existe PoC pública desde a divulgação original em 2014, incluindo análise técnica detalhada da NCC Group/Matasano dissecando o mecanismo. A CISA incluiu a CVE no catálogo KEV (adicionada em 25/03/2022, prazo de correção 15/04/2022), confirmando exploração ativa observada — não apenas teórica — mesmo anos após o patch estar disponível, o que reflete a persistência de instâncias Rails desatualizadas expostas publicamente.

Complexidade de exploração é baixa: não exige engenharia social, múltiplos passos ou condições de corrida. O limitador real de superfície de ataque é a presença de rotas com glob configuradas — em ambientes que não usam esse padrão de roteamento, a CVE simplesmente não se aplica, independente da versão do Rails.

Atualizar para Ruby on Rails 3.2.18, 4.0.5 ou 4.1.1 (ou qualquer versão posterior dentro dessas séries) corrige o problema na resolução de path do implicit render. Distribuições e produtos que embarcam gems Rails também receberam backports — por exemplo, o Red Hat Subscription Asset Manager 1.4 corrigiu via RHSA-2014:1863, distribuindo ruby193-rubygem-actionpack em versão com o patch backportado (pacote 3.2.17-6.el6sam), então em ambientes baseados em pacotes de distribuição o número de versão da gem sozinho não basta para confirmar a correção — é preciso checar se o patch específico foi aplicado no pacote.

Se a atualização não for viável no curto prazo, o paliativo real é revisar toda rota que usa route globbing na aplicação e garantir que ela não dependa de implicit render — ou seja, forçar render explícito nas actions atingidas por essas rotas, e/ou restringir via constraint de rota os caracteres aceitos no segmento glob para excluir "/" e sequências de travessia. Esse workaround tem custo de manutenção (exige auditoria de todas as rotas glob da aplicação) e não é tão robusto quanto o patch oficial, que corrige a causa na resolução do template.

Não funciona como mitigação: WAF genérico bloqueando "../" na URL pode reduzir tentativas triviais, mas não é controle confiável contra encoding alternativo e não resolve a causa raiz — a aplicação continua vulnerável a qualquer variação que escape a assinatura do WAF.

Em logs de acesso, procurar requisições para rotas conhecidas de glob/wildcard contendo sequências de travessia de diretório ("../", variantes com URL-encoding) no segmento capturado, seguidas de respostas 200 com corpo inesperado (conteúdo de arquivo de sistema, código-fonte ou configuração em vez de HTML normal da aplicação). Erros 500 associados a tentativas de renderizar caminhos fora do diretório de views também são indício de tentativa, mesmo sem sucesso.

Como o PoC é público desde 2014, é comum encontrar tentativas de scanning automatizado contra esse padrão em qualquer aplicação Rails exposta à internet, independentemente de ela ser vulnerável — a presença de tentativas no log não confirma exploração bem-sucedida; é necessário confirmar que a aplicação de fato usa route globbing e está em versão não corrigida para avaliar risco real.