⚡ Não perca: notícia importante no ar! ⚡
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma vulnerabilidade crítica na estrutura do Active Storage pode permitir que um invasor não autenticado leia arquivos arbitrários de uma aplicação Rails e potencialmente escale para execução remota de código (RCE).
Rails é uma estrutura popular de aplicativos da web de código aberto escrita em Ruby para a construção de sites e aplicativos da web. Ele usa o componente Rails integrado Active Storage para lidar com uploads e anexos de arquivos.
Os mantenedores do Rails publicaram um comunicado sobre a falha CVE-2026-66066, que recebeu uma classificação de gravidade crítica.
O Active Storage também pode gerar miniaturas de imagens a partir de mídia carregada usando bibliotecas de processamento de imagens, como libvips ou ImageMagick.
De acordo com o boletim de segurança, o CVE-2026-66066 pode ser explorado quando o libvips é usado, permitindo que um invasor carregue uma imagem especialmente criada para um aplicativo vulnerável e leia arquivos arbitrários no servidor.
Outro pré-requisito para o ataque é que o servidor permita uploads de imagens de usuários não confiáveis.
Se esses requisitos forem atendidos, um invasor poderá acessar os arquivos do aplicativo, incluindo o ambiente do processo, que normalmente contém ‘secret_key_base’ e credenciais para bancos de dados, armazenamento em nuvem e outros serviços.
CVE-2026-66066 impacta o Active Storage antes de 7.2.3.2, 8.0.x antes de 8.0.5.1 e 8.1.x antes de 8.1.3.1.
Rails 6.x só será afetado se o Active Storage tiver sido configurado fora de seus padrões.
A equipe Rails recomenda atualizar para libvips 8.13 ou posterior e alternar o ‘secret_key_base’ (a chave mestra Rails), credenciais de banco de dados, credenciais de serviço Active Storage e quaisquer outros segredos acessíveis ao processo de aplicação.
Para sistemas executando libvips 8.13 ou posterior, os administradores podem desabilitar temporariamente a funcionalidade vulnerável definindo a variável de ambiente VIPS_BLOCK_UNTRUSTED ou chamando Vips.block_untrusted(true) ao usar ruby-vips 2.2.1 ou mais recente.
Não há solução alternativa disponível para aplicativos que usam libvips antes da versão 8.13.
Os usuários do ImageMagick não são afetados por este vetor. No entanto, libvips é o processador padrão nas imagens oficiais do Rails Docker e também nas configurações do Debian e Ubuntu.
A equipe do Rails disse que reteve intencionalmente detalhes técnicos da vulnerabilidade para reduzir o risco de exploração antes que os usuários tivessem tempo de aplicar as atualizações.
Detalhes técnicos completos foram inicialmente programados para serem divulgados em 28 de agosto nos fóruns Rails.
No entanto, como as explorações públicas de prova de conceito (PoC) tornaram-se disponíveis muito rapidamente, os mantenedores decidiram publicar os detalhes completos, bem como as ferramentas de investigação forense.
A vulnerabilidade foi descoberta e relatada de forma responsável à equipe Rails por pesquisadores da Ethiack e GMO Flatt Security Inc.
A empresa de segurança Akamai também publicou um aviso sobre CVE-2026-66066, nomeando a cadeia de ataque “KindaRails2Shell” e alertando sobre seu potencial RCE.
“Com o secret_key_base comprometido, o invasor detém a chave criptográfica mestra do aplicativo”, explica Akamai.
“Eles podem forjar cookies de sessão, assinar IDs globais e manipular dados serializados, o que se traduz diretamente em RCE completo no servidor subjacente.”
A Akamai afirma que coordenou com a Ethiack antes da divulgação pública para preparar proteções para os clientes e agora lançou proteções de firewall de aplicativos da web (WAF).
Ethiack observou que um WAF pode ganhar algum tempo para os administradores, mas os invasores que usam ferramentas de IA devem ser capazes de reconstruir a cadeia de ataque com base nas diferenças de patch.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
Rails é uma estrutura popular de aplicativos da web de código aberto escrita em Ruby para a construção de sites e aplicativos da web. Ele usa o componente Rails integrado Active Storage para lidar com uploads e anexos de arquivos.
Os mantenedores do Rails publicaram um comunicado sobre a falha CVE-2026-66066, que recebeu uma classificação de gravidade crítica.
O Active Storage também pode gerar miniaturas de imagens a partir de mídia carregada usando bibliotecas de processamento de imagens, como libvips ou ImageMagick.
De acordo com o boletim de segurança, o CVE-2026-66066 pode ser explorado quando o libvips é usado, permitindo que um invasor carregue uma imagem especialmente criada para um aplicativo vulnerável e leia arquivos arbitrários no servidor.
Outro pré-requisito para o ataque é que o servidor permita uploads de imagens de usuários não confiáveis.
Se esses requisitos forem atendidos, um invasor poderá acessar os arquivos do aplicativo, incluindo o ambiente do processo, que normalmente contém ‘secret_key_base’ e credenciais para bancos de dados, armazenamento em nuvem e outros serviços.
CVE-2026-66066 impacta o Active Storage antes de 7.2.3.2, 8.0.x antes de 8.0.5.1 e 8.1.x antes de 8.1.3.1.
Rails 6.x só será afetado se o Active Storage tiver sido configurado fora de seus padrões.
A equipe Rails recomenda atualizar para libvips 8.13 ou posterior e alternar o ‘secret_key_base’ (a chave mestra Rails), credenciais de banco de dados, credenciais de serviço Active Storage e quaisquer outros segredos acessíveis ao processo de aplicação.
Para sistemas executando libvips 8.13 ou posterior, os administradores podem desabilitar temporariamente a funcionalidade vulnerável definindo a variável de ambiente VIPS_BLOCK_UNTRUSTED ou chamando Vips.block_untrusted(true) ao usar ruby-vips 2.2.1 ou mais recente.
Não há solução alternativa disponível para aplicativos que usam libvips antes da versão 8.13.
Os usuários do ImageMagick não são afetados por este vetor. No entanto, libvips é o processador padrão nas imagens oficiais do Rails Docker e também nas configurações do Debian e Ubuntu.
A equipe do Rails disse que reteve intencionalmente detalhes técnicos da vulnerabilidade para reduzir o risco de exploração antes que os usuários tivessem tempo de aplicar as atualizações.
Detalhes técnicos completos foram inicialmente programados para serem divulgados em 28 de agosto nos fóruns Rails.
No entanto, como as explorações públicas de prova de conceito (PoC) tornaram-se disponíveis muito rapidamente, os mantenedores decidiram publicar os detalhes completos, bem como as ferramentas de investigação forense.
A vulnerabilidade foi descoberta e relatada de forma responsável à equipe Rails por pesquisadores da Ethiack e GMO Flatt Security Inc.
A empresa de segurança Akamai também publicou um aviso sobre CVE-2026-66066, nomeando a cadeia de ataque “KindaRails2Shell” e alertando sobre seu potencial RCE.
“Com o secret_key_base comprometido, o invasor detém a chave criptográfica mestra do aplicativo”, explica Akamai.
“Eles podem forjar cookies de sessão, assinar IDs globais e manipular dados serializados, o que se traduz diretamente em RCE completo no servidor subjacente.”
A Akamai afirma que coordenou com a Ethiack antes da divulgação pública para preparar proteções para os clientes e agora lançou proteções de firewall de aplicativos da web (WAF).
Ethiack observou que um WAF pode ganhar algum tempo para os administradores, mas os invasores que usam ferramentas de IA devem ser capazes de reconstruir a cadeia de ataque com base nas diferenças de patch.
Teste todas as camadas antes que os invasores o façam
As equipes de segurança registram 54% dos ataques bem-sucedidos e alertam sobre apenas 14%. O restante se move pelo seu ambiente sem ser visto. O whitepaper do Picus mostra como a simulação de violação e ataque testa suas regras de SIEM e EDR para que as ameaças parem de escapar da detecção.
Obtenha o whitepaper
#samirnews #samir #news #boletimtec #rails #corrige #falha #crítica #do #active #storage #com #potencial #rce
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário