• Una vulnerabilidad crítica en el framework Active Storage puede permitir que un atacante no autenticado lea archivos arbitrarios de una aplicación Rails y, potencialmente, escale a la ejecución remota de código (RCE).

Rails es un popular framework de aplicaciones web de código abierto https://github.com/rails/rails escrito en Ruby para construir sitios y aplicaciones web. Utiliza el componente integrado Rails Active Storage para gestionar la carga de archivos y adjuntos.

Los mantenedores de Rails publicaron un aviso sobre el fallo CVE-2026-66066 https://www.cve.org/CVERecord?id=CVE-2026-66066, que recibió una calificación de severidad crítica.

Active Storage también puede generar miniaturas de imágenes https://www.libvips.org/API/8.18/ctor.Image.thumbnail.html a partir de archivos multimedia cargados utilizando librerías de procesamiento de imágenes como libvips o ImageMagick https://guides.railsgirls.com/thumbnails.

Según el boletín de seguridad https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm, CVE-2026-66066 es explotable cuando se utiliza libvips, lo que permite a un atacante cargar una imagen especialmente diseñada en una aplicación vulnerable y leer archivos arbitrarios en el servidor.

Otro requisito previo para el ataque es que el servidor debe permitir la carga de imágenes de usuarios no confiables.

Si se cumplen estos requisitos, un atacante puede acceder a los archivos de la aplicación, incluido el entorno del proceso, que normalmente contiene la ‘secret_key_base’ y credenciales de bases de datos, almacenamiento en la nube y otros servicios.

CVE-2026-66066 afecta a Active Storage antes de la versión 7.2.3.2, 8.0.x antes de la 8.0.5.1, y 8.1.x antes de la 8.1.3.1.

Rails 6.x solo se ve afectado si Active Storage ha sido configurado fuera de sus valores predeterminados.

El equipo de Rails recomienda actualizar a libvips 8.13 https://www.openwall.com/lists/oss-security/2026/07/29/9 o posterior y rotar la ‘secret_key_base’ (la clave maestra de Rails), las credenciales de la base de datos, las credenciales del servicio Active Storage y cualquier otro secreto accesible para el proceso de la aplicación.

Para los sistemas que ejecutan libvips 8.13 o posterior, los administradores pueden desactivar temporalmente la funcionalidad vulnerable configurando la variable de entorno VIPS_BLOCK_UNTRUSTED o llamando a Vips.block_untrusted(true) al utilizar ruby-vips 2.2.1 o más reciente.

No existe una solución alternativa para las aplicaciones que utilizan libvips anterior a la versión 8.13.

Los usuarios de ImageMagick no se ven afectados por este vector. Sin embargo, libvips es el procesador predeterminado en las imágenes oficiales de Docker de Rails, así como en las configuraciones de Debian y Ubuntu.

El equipo de Rails afirmó que ha omitido intencionadamente los detalles técnicos de la vulnerabilidad para reducir el riesgo de explotación antes de que los usuarios tengan tiempo de aplicar las actualizaciones.

Los detalles técnicos completos estaban programados inicialmente para ser revelados el 28 de agosto en los foros de Rails https://discuss.rubyonrails.org/c/security-announcements/9.

Sin embargo, debido a que los exploits de prueba de concepto (PoC) públicos estuvieron disponibles muy rápidamente, los mantenedores decidieron publicar los detalles completos https://discuss.rubyonrails.org/t/cve-2026-66066-attack-details-and-tools-to-perform-a-forensic-investigation/91441 así como herramientas de investigación forense https://github.com/rails/rails-forensics-CVE-2026-66066.

La vulnerabilidad fue descubierta y reportada responsablemente al equipo de Rails por investigadores de Ethiack y GMO Flatt Security Inc.

La firma de seguridad Akamai también ha publicado una advertencia sobre CVE-2026-66066, nombrando la cadena de ataque “KindaRails2Shell” y advirtiendo sobre su potencial de RCE.

“Con la secret_key_base comprometida, el atacante posee la clave criptográfica maestra de la aplicación”, explica Akamai https://www.akamai.com/blog/security-research/rails-active-storage-rce-cve-2026-66066.

“Pueden falsificar cookies de sesión, firmar IDs globales y manipular datos serializados, lo que se traduce directamente en un RCE completo en el servidor subyacente”.

Akamai dice que coordinó con Ethiack antes de la divulgación pública para preparar protecciones para los clientes, y que ahora ha lanzado protecciones de firewall de aplicaciones web (WAF).

Ethiack señaló https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066 que un WAF podría ganar tiempo a los administradores, pero los atacantes que utilicen herramientas de IA deberían ser capaces de reconstruir la cadena de ataque basándose en las diferencias de los parches.

Fuente:
BleepingComputer