Rails 修补 Active Storage 关键漏洞，存在 RCE 风险

Active Storage 框架中的一个关键漏洞可能允许未经身份验证的攻击者从 Rails 应用程序中读取任意文件，并可能升级为远程代码执行（RCE）。
Rails 是一个用 Ruby 编写的流行开源 Web 应用程序框架，用于构建网站和 Web 应用。它使用内置的 Rails 组件 Active Storage 来处理文件上传和附件。
Rails 维护者发布了一份关于 CVE-2026-66066 漏洞的公告，该漏洞被评为关键严重级别。
Active Storage 还可以使用 libvips 或 ImageMagick 等图像处理库从上传的媒体生成图像缩略图。
根据安全公告，当使用 libvips 时，CVE-2026-66066 可被利用，允许攻击者向易受攻击的应用程序上传特制图像，并读取服务器上的任意文件。
攻击的另一个前提条件是服务器需要允许来自不受信任用户的图像上传。
如果满足这些要求，攻击者可以访问应用程序文件，包括进程环境变量，其中通常包含 'secret_key_base' 以及数据库、云存储和其他服务的凭据。
CVE-2026-66066 影响 7.2.3.2 之前的 Active Storage、8.0.x 系列 8.0.5.1 之前的版本，以及 8.1.x 系列 8.1.3.1 之前的版本。
Rails 6.x 仅在 Active Storage 已配置为超出默认设置的情况下受影响。
Rails 团队建议升级到 libvips 8.13 或更高版本，并轮换 'secret_key_base'（Rails 主密钥）、数据库凭据、Active Storage 服务凭据以及应用程序进程可访问的任何其他密钥。
对于运行 libvips 8.13 或更高版本的系统，管理员可以通过设置 VIPS_BLOCK_UNTRUSTED 环境变量，或在使用 ruby-vips 2.2.1 或更新版本时调用 Vips.block_untrusted(true) 来临时禁用受影响的功能。
对于使用 8.13 之前版本 libvips 的应用程序，没有可用的解决方法。
ImageMagick 用户不受此攻击向量的影响。然而，libvips 是官方 Rails Docker 镜像以及 Debian 和 Ubuntu 系统中的默认处理器。
Rails 团队表示，他们有意隐瞒了该漏洞的技术细节，以降低在用户有时间应用更新之前被利用的风险。
完整的技术细节最初计划于 8 月 28 日在 Rails 论坛上披露。
然而，由于公开的概念验证（PoC）漏洞利用代码很快出现，维护者决定发布完整细节以及取证调查工具。
该漏洞由来自 Ethiack 和 GMO Flatt Security Inc. 的研究人员发现，并负责任地报告给了 Rails 团队。
安全公司 Akamai 也发布了关于 CVE-2026-66066 的警告，将攻击链命名为 "KindaRails2Shell"，并警告其存在 RCE 风险。
"一旦 secret_key_base 被攻破，攻击者就掌握了应用程序的主密码学密钥，"Akamai 解释道。
"他们可以伪造会话 cookie、签署全局 ID 并操纵序列化数据，这直接转化为对底层服务器的完全 RCE。"
Akamai 表示，在公开披露之前，他们已与 Ethiack 协调，为客户准备保护措施，并且现已发布 Web 应用防火墙（WAF）防护。
Ethiack 指出，WAF 可能为管理员争取一些时间，但使用 AI 工具的攻击者应该能够根据补丁差异重建攻击链。