Am 21. April 2026 veröffentlichte das Ruby‑Team einen Patch für eine kritische Sicherheitslücke in der Standard‑Template‑Bibliothek ERB, mit der sich entfernte Befehle im Kontext von Ruby‑Prozessen ausführen lassen. Die Schwachstelle ist als CVE‑2026‑41316 registriert und betrifft alle Versionen des erb‑Gems bis einschließlich 6.0.3. Betreiber von Rails‑Anwendungen sollten umgehend prüfen, ob ihre Applikationen Marshal.load auf Daten aus unsicheren Quellen anwenden, und das erb‑Gem aktualisieren.

Was genau ist die Schwachstelle? Die Lücke, katalogisiert als CVE‑2026‑41316 und von CERT‑Bund unter WID‑SEC‑2026‑1187 geführt, erlaubt es Angreifern, eine Schutzschicht in ERB zu umgehen, die eigentlich schädliche Deserialisierung verhindern soll. Entdeckt und gemeldet wurde die Schwachstelle von TristanInSec. Technisch nutzt ein Angreifer eine sogenannte Gadget‑Chain, um bei Vorliegen bestimmter Voraussetzungen Remote Code Execution (RCE) zu erreichen. GitHub vergab für die Schwachstelle nach CVSS 3.1 einen Score von 8.1 (High). Die Bewertung berücksichtigt unter anderem die Angriffserschwernis: In diesem Fall erhöhen zusätzliche Voraussetzungen in der Zielanwendung die Komplexität der Ausnutzung. Das offizielle GitHub Security Advisory enthält eine technische Beschreibung und verweist auf einen Proof‑of‑Concept, der die Ausnutzbarkeit demonstriert. Welche Versionen und Anwendungen sind betroffen? Verwundbar sind alle Versionen des erb‑Gems bis einschließlich 6.0.3. Da aktuelle Rails‑Installationen in der Regel ActiveSupport und eine ERB‑Implementierung laden, sind viele Rails‑Anwendungen potenziell betroffen. Ob eine konkrete Anwendung wirklich angreifbar ist, hängt jedoch von zwei Bedingungen ab: - Die Anwendung muss an irgendeiner Stelle Marshal.load aufrufen und die geladenen Daten müssen unter der Kontrolle eines Angreifers stehen. - Zur Laufzeit muss neben ERB auch ActiveSupport geladen sein (bei Rails standardmässig gegeben). Typische Einfallstore in Rails‑Projekten Häufige Stellen, an denen Marshal‑kodierte Daten in Ruby/Rails vorkommen, sind: - Rails.cache mit dem Default‑Serializer Marshal - Job‑Queues, die Marshal‑Payloads verwenden (ältere Sidekiq‑ oder Resque‑Setups) - Import‑Endpunkte, die Marshal‑Dumps einlesen - Marshal‑kodierte Session‑Cookies in älteren Rails‑Versionen Ein praktisches Risiko entsteht nur, wenn ein Angreifer tatsächlich kontrollierbare Daten einschleusen kann (z. B. zugänglicher Cache, geleaktes secret_key_base oder ungeschützte Import‑Endpunkte). In diesen Fällen kann ein erfolgreicher Exploit volle Code‑Ausführung im Kontext des Ruby‑Prozesses zur Folge haben. Welche Folgen hat ein erfolgreicher Angriff? Gelingt ein Angriff, erhält der Täter die Rechte des Ruby‑Prozesses: Zugriff auf Anwendungsdaten, Systemdateien, Umgebungsvariablen und mögliche Geheimnisse im Prozesskontext. Mögliche Folgen sind das Auslesen sensibler Daten, Hinterlegen von Backdoors, Persistenz oder laterale Bewegung ins interne Netzwerk. Die Einstufung durch CERT‑Bund und die CVSS‑Bewertung spiegeln dieses Schadenspotenzial wider: Ausnutzung ist möglich, aber abhängig von spezifischen Bedingungen in der Zielumgebung.

Related Articles

CVE‑2026‑41316 (CERT‑Bund: WID‑SEC‑2026‑1187) wurde bestätigt; das Ruby‑Team veröffentlichte am 21. April 2026 einen Patch. Betreiber von Rails‑Anwendungen sollten sofort prüfen, ob Marshal.load auf untrusted Daten angewendet wird, und das erb‑Gem auf die gepatchte Version aktualisieren (verwundbar: alle Versionen bis einschließlich 6.0.3).

Dieser Artikel wurde mit KI-Unterstützung erstellt.