BEDROHUNG
Eine kritische Schwachstelle in Ruby on Rails Active Storage wurde geschlossen. Die als CVE-2026-66066 geführte Lücke kann nicht-authentifizierten Angreifern das Auslesen beliebiger Dateien über präparierte Bild-Uploads ermöglichen. Wenn beispielsweise Secrets aus der Prozessumgebung offengelegt werden, kann das zu Remote-Code-Execution (RCE) führen.
Voraussetzung für eine Ausnutzung ist die Verwendung von Active Storage mit libvips für die Bildverarbeitung. Darüber hinaus muss der Server für nicht vertrauenswürdige Nutzer den Upload von Bildern zulassen. Angreifer können dann unter anderem auf Dateien oder Umgebungsvariablen zugreifen, die Werte wie Datenbank-Zugangsdaten oder Cloud-Storage-Informationen enthalten. Diese können anschließend für weitere Angriffe missbraucht werden.
Die Schwachstelle betrifft Active Storage Versionen vor 7.2.3.2, 8.0.5.1 und 8.1.3.1. Rails 6.x ist laut Berichten nur betroffen, wenn Active Storage abweichend von den Standardwerten für die Nutzung von libvips konfiguriert wurde. Anwendungen, die MiniMagick beziehungsweise ImageMagick statt libvips verwenden, sind nicht betroffen.
Administratoren wird empfohlen, die bereitgestellten Rails-Updates zeitnah zu installieren. Darüber hinaus sollte verifiziert werden, dass die libvips-Version mindestens 8.13 beträgt.
Was jetzt zu tun ist:
- umgehend patchen
- Verwendung von libvips für Bildverarbeitung und Uploads von nicht-vertrauenswürdigen Nutzern beschränken
- potenziell erreichbare Secrets sowie Datenbank- und Cloud-Zugangsdaten gegebenenfalls rotieren
PRÄVENTION & DETEKTION
Eine Schwachstelle kann durch eine EDR-Lösung (Endpoint Detection and Response) frühzeitig erkannt werden. Ein Schwachstellenmanagement identifiziert Sicherheitslücken frühzeitig, bevor sie von Angreifern ausgenutzt werden können.
Autor: Michael Niers s
