Критична вразливість у Ruby on Rails дозволяє читати файли сервера через завантаження зображень

Виявлено та виправлено критичну вразливість в Active Storage фреймворку Ruby on Rails, яка дозволяє неаутентифікованим зловмисникам читати довільні файли з серверів додатків. Ця проблема, відстежувана як CVE-2026-66066 з оцінкою CVSS 9.5, виникає через спеціально створені завантаження зображень.

Деталі вразливості

Вразливість дозволяє розкривати середовище процесу Rails та конфіденційні дані, такі як secret_key_base, головний ключ Rails, паролі до баз даних, облікові дані хмарних сховищ та токени API. Ці секрети можуть потенційно призвести до віддаленого виконання коду (RCE) або горизонтального переміщення в підключені системи.

Проблема виникає на межі довіри між Active Storage та бібліотекою libvips, яка використовується для обробки зображень. libvips підтримує операції, деякі з яких позначені як "unfuzzed" або "untrusted" через їхню небезпечність для ворожих вхідних даних. Active Storage не блокував ці операції, дозволяючи спеціально створеному завантаженню викликати їх та розкривати файли, доступні для читання робочим процесом Rails. Для експлуатації вразливості не потрібно, щоб додаток мав спеціальну операцію зміни розміру або створення мініатюр; "генерування варіантів не є окремою вимогою". Як аналізатор, так і трансформатор Vips передавали ненадійні вкладення до небезпечних операцій.

Зачеплені версії та рекомендації

Вразливість зачіпає додатки, які використовують libvips для обробки зображень Active Storage та приймають завантаження зображень від ненадійних користувачів. Rails обирає Vips за замовчуванням у load_defaults 7.0 та пізніших версіях. Зачеплені діапазони версій Rails включають 7.0.0 до 7.2.3.1, 8.0.0 до 8.0.5 та 8.1.0 до 8.1.3. Версії Rails 6.0.0 до 6.1.7.10 зачеплені лише тоді, коли Active Storage налаштовано на використання Vips, що не було процесором за замовчуванням у Rails 6. Офіційна рекомендація вказує на activestorage < 7.2.3.2. Додатки, що використовують MiniMagick, не піддаються цій конкретній атаці.

Rails 7.0 та 7.1 досягли кінця життєвого циклу і не мають виправлених випусків, тому додатки на цих гілках повинні оновитися до Rails 7.2.3.2 або новішої версії. Операторам слід оновитися до Rails 7.2.3.2, 8.0.5.1 або 8.1.3.1 та обернути кожен секрет, доступний для читання процесом додатка. Пропатчені інсталяції вимагають libvips 8.13 або новішої версії, а при встановленому ruby-vips – ruby-vips 2.2.1 або новішої версії.

Тимчасові рішення та подальші дії

Патч викликає Vips.block_untrusted(true) при запуску Active Storage. Додатки, які не можуть негайно оновити Rails, можуть встановити змінну середовища VIPS_BLOCK_UNTRUSTED (при використанні libvips 8.13 або новішої версії) або викликати Vips.block_untrusted(true) (з ruby-vips 2.2.1 або новішої версії). Раніші версії libvips не можуть блокувати ці операції, тому додатки повинні оновити libvips або видалити його.

Rails попереджає, що застосування патчу не анулює облікові дані, які вже могли бути викрадені, тому обертання секретів є критично важливим. На момент публікації не було опубліковано жодного підтвердження концепції (PoC) або виявлено експлойтів у відкритих репозиторіях. Також не повідомлялося про експлуатацію в реальних умовах. Подальші технічні деталі будуть оприлюднені не пізніше 28 серпня 2026 року.

За виявлення проблеми були відзначені Андре Баптіста, Бруно Мендес та Рафаель Кастільо з Ethiack, а також RyotaK з GMO Flatt Security.