Se ha detectado una vulnerabilidad crítica en Ruby on Rails, denominada CVE-2026-66066 o KindaRails2Shell, que podría provocar filtraciones de datos en la nube, especialmente en empresas que utilizan Amazon Web Services (AWS). Este fallo afecta a las implementaciones de Active Storage que usan la librería libvips para el procesamiento de imágenes y permiten la subida de archivos por parte de usuarios no confiables.

Una vulnerabilidad crítica en Ruby on Rails ha generado nuevas preocupaciones sobre las filtraciones de datos en la nube, especialmente para las empresas que alojan plataformas de clientes en Amazon Web Services (AWS).

Conocido como CVE-2026-66066 o KindaRails2Shell, este fallo afecta a los despliegues de Active Storage que utilizan la biblioteca de procesamiento de imágenes libvips y aceptan cargas de archivos de usuarios no confiables.

Aunque no hay una confirmación específica de una brecha que afecte a 350.000 usuarios, la vulnerabilidad podría exponer potencialmente credenciales de la nube y datos de clientes si los atacantes comprometen una aplicación vulnerable.

El problema de seguridad surge del procesamiento de variantes de imágenes de Rails Active Storage, que no logró bloquear ciertas operaciones de libvips consideradas inseguras para manejar contenido no confiable.

Este descuido podría permitir que un atacante no autenticado envíe una carga especialmente diseñada, permitiéndole leer archivos accesibles para el proceso de la aplicación Rails.

PoC para la Vulnerabilidad RCE de Rails Active Storage

Los archivos sensibles en riesgo pueden incluir variables de entorno, archivos de configuración, contraseñas de bases de datos, tokens de API y credenciales de acceso a AWS. Para las organizaciones que usan AWS, las implicaciones podrían ser graves.

Las credenciales de la nube robadas podrían otorgar a los atacantes acceso a buckets de S3, bases de datos, copias de seguridad, registros de la aplicación y otros servicios conectados, dependiendo de los permisos asignados a la identidad comprometida.

Si tu empresa almacena registros de usuarios, detalles de identidad, información de contacto o archivos internos en su entorno de AWS, un incidente podría resultar en una exposición de datos significativa que afecte a cientos de miles de usuarios.

Los investigadores también han advertido que el problema podría extenderse más allá de la simple divulgación de archivos. Las aplicaciones Rails a menudo almacenan el secret_key_base en variables de entorno. Si un atacante obtiene acceso a este secreto, podría falsificar datos firmados por Rails y potencialmente ejecutar código remoto en el servidor.

Este acceso ocurriría utilizando los permisos asignados al proceso de Rails, lo que podría conducir a un mayor robo de datos, cambios en el comportamiento de la aplicación o la explotación de servicios de la nube asociados con el entorno.

La configuración afectada requiere tanto el procesamiento de Active Storage basado en libvips como la aceptación de cargas de imágenes no confiables. Las versiones de Rails anteriores a Active Storage 7.2.3.2, 8.0.5.1 y 8.1.3.1 son vulnerables en los rangos afectados.

Las aplicaciones Rails 6 también podrían estar en riesgo si los administradores han configurado manualmente Active Storage para usar el procesador Vips. Un módulo de Metasploit propuesto en GitHub muestra cómo los atacantes podrían encadenar el acceso a archivos y datos de imágenes falsificados para lograr la ejecución de comandos.

Se informa que este módulo ha sido probado en entornos controlados contra las versiones de Rails 6.0.6.1, 6.1.7.10 y 8.0.5. El desarrollo de exploits públicos resalta la urgencia de que identifiques los servicios de Rails expuestos y apliques las actualizaciones necesarias.

Tu equipo de seguridad debe tomar medidas inmediatas para parchear los despliegues vulnerables de Rails, revisar los puntos finales de carga de Active Storage, rotar los secretos de Rails y las credenciales de AWS si sospechas que hubo una exposición, y auditar AWS CloudTrail, S3 y los registros de la aplicación para detectar cualquier acceso inusual. También debes implementar roles IAM de privilegio mínimo y evitar almacenar secretos de la nube de larga duración en las variables de entorno del proceso.

Fuentes:
https://cybersecuritynews.com/rails-active-storage-rce-vulnerability-poc/