脆弱性
Ruby on RailsのActive Storageにおいて、画像バリアント処理の不備に起因する任意のファイル読み込みおよびリモートコード実行の脆弱性が存在する。libvipsを画像処理プロセッサとして使用し、信頼できないユーザーからの画像アップロードを受け付けるデフォルト設定の環境において、認証されていない攻撃者が細工したファイルをアップロードしてバリアント生成を引き起こすことで、環境変数や機密情報を含むサーバー上の任意のファイルを読み取る恐れがある。これにより、秘匿情報の漏洩やリモートコード実行へ発展する危険性がある。
なぜご自身の組織で確認すべきか広く利用されているRuby on RailsのActive Storageにおける未認証リモートコード実行につながるCritical脆弱性（CVSS 9.5）であり、速やかなアップデート対応が必要なため。
攻撃手法（確認済み）
攻撃者がサーバー上の任意のファイルを読み取ることが可能となり、secret_key_baseや外部サービスの認証情報、データベース資格情報などの機密情報が露出することで、結果としてリモートコード実行や他システムへの横展開へとエスカレートする危険性がある。
自組織チェックポイント
activestorageを修正済みバージョン（7.2.3.2、8.0.5.1、8.1.3.1以降）にアップグレードすること。また、libvipsを8.13以上にアップデートし、影響を受けた可能性がある環境変数やクレデンシャル情報を直ちに変更・失効させる必要がある。
