Rails 修复严重的 Active Storage 漏洞，可导致 RCE 后果

Ravie Lakshmanan
Ravie Lakshmanan

代码卫士

2026年8月3日 17:42
北京

在小说阅读器读本章

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Active Storage框架中存在一个严重漏洞(CVE-2026-66066)，可导致未经身份验证的攻击者读取Rails应用程序中的任意文件，并可能升级为远程代码执行(RCE)。

Rails 是 Ruby 语言编写的流行的源 Web 应用程序框架，用于构建网站和 Web 应用。它的内置组件 Active Storage 负责处理文件上传和附件管理。Rails 的维护人员发布了关于该漏洞的安全公告，并将它评级为“严重”。Active Storage 还可使用 libvips 或 ImageMagick 等图像处理库，从上传的媒体文件生成缩略图。

该安全公告提到，当使用 libvips 时，CVE-2026-66066 可被利用，攻击者可向受影响应用上传特殊构造的图像文件，读取服务器上的任意文件。该攻击的另一个前提条件是服务器允许来自不受信用户的图像上传。若满足上述条件，攻击者即可访问应用文件，包括进程环境变量，其中通常包含 secret\_key\_base（Rails 主密钥）以及数据库、云存储和其它服务的凭据。

该漏洞影响Active Storage 7.2.3.2 之前版本、8.0.5.1 之前的8.0.x 系列版本，以及8.1.3.1 之前的8.1.x 系列版本。Rails 6.x 仅在使用非默认配置启用 Active Storage 时受影响。

Rails 团队建议升级至 libvips 8.13 或更高版本，并轮换 secret\_key\_base（Rails 主密钥）、数据库凭证、Active Storage 服务凭证，以及应用进程可访问的其它所有密钥。

对于运行 libvips 8.13 或更高版本的系统，管理员可通过设置环境变量 VIPS\_BLOCK\_UNTRUSTED，或在 ruby-vips 2.2.1 及以上版本中调用 Vips.block\_untrusted(true)，临时禁用受影响的功能。对于使用 libvips 8.13 之前版本的应用，暂无临时缓解措施。ImageMagick 用户不受此攻击途径影响。但 libvips 是官方 Rails Docker 镜像以及 Debian 和 Ubuntu 系统中的默认图像处理器。

Rails 团队表示，为降低用户尚未完成更新前被利用的风险，因此暂未公开该漏洞的技术细节。完整技术细节原计划于 8 月 28 日在 Rails 论坛上公布。

然而，由于公开的概念验证（PoC）利用代码迅速出现，维护者决定提前公布完整细节及取证调查工具。该漏洞由 Ethiack 和 GMO Flatt Security Inc. 公司的研究人员发现，并负责任地向 Rails 团队报告。

安全厂商 Akamai 也就该漏洞发布了警告，将攻击链命名为“KindaRails2Shell”，并警示 RCE 风险。该公司解释称：“一旦 secret\_key\_base 被攻破，攻击者便掌握了应用的加密主密钥。他们可以伪造会话 Cookie、签署全局 ID，并操作序列化数据，这将直接导致底层服务器完全沦陷，实现远程代码执行后果。”Akamai 公司表示，他们在公开披露前与 Ethiack 公司协调，为客户准备了防护措施，并已发布 Web 应用防火墙（WAF）防护规则。Ethiack 公司指出，虽然WAF 可为管理员争取一些时间，但使用 AI 工具的攻击者应该能根据补丁差异重构攻击链。

开源卫士试用地址：https://oss.qianxin.com/

代码卫士试用地址：https://sast.qianxin.com/

推荐阅读

JetBrains：注意这个严重的 TeamCity RCE 漏洞

vBulletin 修复严重的预认证 RCE 漏洞

已存在15年之久的 NGINX 漏洞可导致RCE

wp2shell RCE 严重漏洞获紧急补丁，影响数亿WordPress 站点

NGINX Open Source 中存在两个可导致RCE的严重漏洞

原文链接

https://www.bleepingcomputer.com/news/security/rails-patches-critical-active-storage-flaw-with-rce-potential/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。