Auf den Punkt: Die kritische Rails-Schwachstelle CVE-2026-66066 (CVSS 9,5) erlaubt über manipulierte Bild-Uploads in Active Storage das Auslesen sensibler Secrets bis hin zu Remote Code Execution und sollte durch sofortiges Patchen auf die Versionen 7.2.3.2, 8.0.5.1 oder 8.1.3.1 behoben werden.
Eine am 30. Juli offengelegte Schwachstelle im Active-Storage-Modul von Ruby on Rails erlaubt unauthentifizierten Angreifern, über manipulierte Bild-Uploads sensible Dateien auszulesen oder Remote Code Execution zu erreichen. Der CVSS-Wert von 9,5 macht den Fehler zu einer der kritischsten Rails-Lücken der letzten Zeit.
Die als „KindaRails2Shell“ bezeichnete Schwachstelle CVE-2026-66066 betrifft das in Ruby on Rails eingebaute Active-Storage-Komponente, mit der Anwendungen Datei-Uploads zu Cloud-Diensten oder lokalem Speicher verarbeiten. Ursache ist das Zusammenspiel von Active Storage mit der Bildverarbeitungsbibliothek libvips: Diese enthält sogenannte „ungefuzzte“ Operationen, die nicht gegen bösartige Eingaben gehärtet wurden und daher für den Umgang mit nicht vertrauenswürdigen Inhalten ungeeignet sind. Active Storage deaktiviert diese unsicheren Operationen jedoch nicht ausreichend. Betroffen sind Anwendungen, die libvips für die Bildverarbeitung nutzen – seit Rails 7.0 die Standardkonfiguration – und Uploads von nicht authentifizierten oder nicht vertrauenswürdigen Nutzern akzeptieren. Behoben wurde der Fehler in den Active-Storage-Versionen 7.2.3.2, 8.0.5.1 und 8.1.3.1.
Nach Angaben von Ensar Seker, CISO bei SOCRadar, benötigt ein Angreifer für die Ausnutzung weder ein Nutzerkonto noch privilegierten Zugriff. Über präparierte Dateien, die als Bilder getarnt sind, lässt sich die unsichere Verarbeitungspipeline dazu bringen, Dateien preiszugeben, auf die der Rails-Prozess Zugriff hat – darunter Umgebungsvariablen, Anwendungs-Secrets, Datenbank-Zugangsdaten, Cloud-Zugriffsschlüssel und API-Tokens. Besonders kritisch ist laut Seker der mögliche Zugriff auf den secret_key_base, mit dem Rails Cookies, Credentials und Session-Daten signiert und verschlüsselt. Ist dieser Schlüssel kompromittiert, kann ein Angreifer Session-Daten fälschen, sich als vertrauenswürdige Instanz ausgeben und im schlimmsten Fall auf Datenbanken und verbundene Cloud-Dienste zugreifen oder sich lateral in weitere Systeme bewegen.
Für Unternehmen bedeutet dies, dass scheinbar harmlose Funktionen wie Profilbilder, Avatare oder Thumbnail-Generatoren zum Einstiegspunkt in die zugrundeliegende Infrastruktur werden können. David Shipley von Beauceron Security beschreibt den Kern der Lücke pointiert: Ein Angreifer kann ein Bild hochladen, das gar kein Bild ist, sondern Code, der Secrets stiehlt. Aus einer zunächst begrenzt erscheinenden Information-Disclosure-Schwachstelle kann durch den Diebstahl des secret_key_base eine deutlich umfassendere Kompromittierung der gesamten Anwendung werden.
CISOs sollten kurzfristig alle internen und von Drittanbietern betriebenen Anwendungen darauf prüfen, ob sie Rails mit Active Storage und libvips-basierter Bildverarbeitung einsetzen, und die betroffenen Versionen umgehend patchen. Dazu gehört eine Bestandsaufnahme aller Funktionen, die Bild-Uploads akzeptieren, einschließlich Avatare, Support-Anhänge und ähnlicher Upload-Wege, sowie eine Prüfung, ob nicht authentifizierte Nutzer Zugriff auf solche Upload-Funktionen haben. Angesichts der aktiven Community von über 1.000 Rails-Entwicklern und der weiten Verbreitung des Frameworks in Unternehmensanwendungen ist mit einer schnellen Weiterentwicklung von Exploit-Techniken zu rechnen.
Quelle: www.csoonline.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.