Rails hat Sicherheitsupdates für eine kritische Schwachstelle in Active Storage veröffentlicht, durch die nicht authentifizierte Angreifer beliebige Dateien aus anfälligen Webanwendungen auslesen können.
Die Rails-Active-Storage-Schwachstelle mit der Kennung CVE-2026-66066 kann außerdem den Weg für eine Remotecodeausführung ebnen. Angreifer können zunächst geheime Anwendungsdaten stehlen und diese anschließend nutzen, um die Kontrolle über den betroffenen Server zu übernehmen.
Rails-Entwickler sollten die verfügbaren Updates so schnell wie möglich installieren, insbesondere wenn ihre Anwendungen Bild-Uploads von nicht vertrauenswürdigen Nutzern zulassen.
CVE-2026-66066 betrifft Rails-Anwendungen mit libvips
Active Storage ist die integrierte Rails-Komponente für Datei-Uploads und Anhänge. Sie kann außerdem Vorschaubilder mithilfe von Bildverarbeitungsbibliotheken wie libvips und ImageMagick erstellen.
Laut der Rails-Sicherheitswarnung können Angreifer CVE-2026-66066 ausnutzen, wenn eine Anwendung libvips zur Verarbeitung hochgeladener Bilder verwendet.
Ein Angreifer kann ein speziell präpariertes Bild hochladen und dadurch Dateien vom Server auslesen. Voraussetzung ist jedoch, dass die Anwendung Bild-Uploads von nicht vertrauenswürdigen Nutzern erlaubt.
Nutzer von ImageMagick sind von diesem speziellen Angriffsweg nicht betroffen. Allerdings ist libvips der Standard-Bildprozessor in offiziellen Rails-Docker-Images sowie in vielen Debian- und Ubuntu-Installationen.
Gestohlene Geheimnisse können zu Remotecodeausführung führen
Die Schwachstelle kann sensible Dateien aus der Anwendungsumgebung offenlegen.
Angreifer können auf die Prozessumgebung zugreifen, in der häufig der Wert secret_key_base gespeichert ist. Darüber hinaus könnten sie Datenbankpasswörter, Zugangsdaten für Cloud-Speicher und Anmeldedaten für Active-Storage-Dienste erlangen.
Die secret_key_base dient als zentrales kryptografisches Geheimnis einer Rails-Anwendung. Akamai warnt, dass Angreifer mit diesem Schlüssel Sitzungscookies fälschen, Global IDs signieren und serialisierte Daten manipulieren können.
Dadurch kann letztlich eine vollständige Remotecodeausführung auf dem zugrunde liegenden Server möglich werden. Akamai bezeichnet diese Angriffskette als KindaRails2Shell.
Welche Rails-Versionen müssen aktualisiert werden?
Die Rails-Active-Storage-Schwachstelle betrifft Active-Storage-Versionen vor den folgenden Releases:
- Rails 7.2.3.2
- Rails 8.0.5.1
- Rails 8.1.3.1
Installationen von Rails 6.x sind nur dann gefährdet, wenn Administratoren Active Storage außerhalb der Standardeinstellungen konfiguriert haben.
Die Rails-Entwickler empfehlen Administratoren, libvips auf Version 8.13 oder neuer zu aktualisieren. Außerdem sollten sämtliche Geheimnisse ausgetauscht werden, auf die der betroffene Anwendungsprozess Zugriff hatte.
Dazu gehören die Rails-secret_key_base, Datenbankzugangsdaten, Active-Storage-Zugangsdaten sowie Schlüssel für Cloud-Dienste.
Vorübergehende Schutzmaßnahmen für neuere libvips-Versionen verfügbar
Administratoren, die bereits libvips 8.13 oder neuer einsetzen, können die anfällige Funktion vorübergehend deaktivieren.
Dazu kann die Umgebungsvariable VIPS_BLOCK_UNTRUSTED gesetzt werden. Anwendungen mit ruby-vips 2.2.1 oder neuer können alternativ Vips.block_untrusted(true) aufrufen.
Für Anwendungen mit älteren libvips-Versionen als 8.13 gibt es jedoch keine Umgehungslösung. In diesen Fällen müssen Administratoren ihre Bibliotheken aktualisieren und Rails unverzüglich patchen.
Öffentliche PoCs erhöhen das Risiko einer Ausnutzung
Rails hielt technische Details zunächst bewusst zurück, um Nutzern Zeit für die Installation der Updates zu geben.
Die Maintainer wollten die vollständigen technischen Informationen ursprünglich am 28. August in den Rails-Foren veröffentlichen. Kurz nach der Sicherheitswarnung tauchten jedoch öffentliche Proof-of-Concept-Exploits auf.
Daraufhin entschied sich das Rails-Team, die vollständigen technischen Details sowie Werkzeuge für forensische Untersuchungen früher als geplant bereitzustellen.
Forscher von Ethiack und GMO Flatt Security Inc. entdeckten die Schwachstelle und meldeten sie verantwortungsvoll. Ethiack erklärte, dass Web Application Firewalls Administratoren zwar etwas Zeit verschaffen könnten, Angreifer die Angriffskette jedoch wahrscheinlich anhand der öffentlich verfügbaren Patch-Unterschiede rekonstruieren können.
Akamai hat außerdem WAF-Schutzregeln für seine Kunden veröffentlicht. Dennoch sollten Administratoren diese lediglich als zusätzliche Schutzschicht betrachten und nicht als Ersatz für das Schließen der Rails-Active-Storage-Schwachstelle.
0 Kommentare zu „Rails behebt kritische Active-Storage-Sicherheitslücke mit RCE-Risiko“