Lỗ hổng Active Storage trên Rails cho phép đọc tệp tùy ý qua upload ảnh (CVE-2026-66066)
"Ruby on Rails fixed a critical Active Storage vulnerability, CVE-2026-66066 (CVSS 9.5), that could let unauthenticated attackers read arbitrary files from application servers by uploading crafted images when Active Storage uses libvips. Exposed secrets could include secret_key_base, the Rails master key, database credentials, cloud storage keys, and API tokens, potentially leading to RCE or lateral movement; affected users should upgrade to patched Rails releases and rotate secrets."
Tác động chính là đọc tệp tùy ý từ máy chủ, có thể dẫn tới lộ bí mật ứng dụng và mở đường cho RCE/lateral movement tùy ngữ cảnh.
Nguy cơ rò rỉ thông tin nhạy cảm (khóa, token, cấu hình) có thể gây gián đoạn vận hành và tăng chi phí ứng phó sự cố; cần nâng cấp khẩn và xoay vòng bí mật để giảm thiểu hậu quả.
Ruby on Rails đã phát hành bản vá cho một lỗ hổng nghiêm trọng trong Active Storage có thể cho phép kẻ tấn công không cần xác thực đọc tệp tùy ý trên máy chủ thông qua upload ảnh được chế tạo. Lỗi được theo dõi là CVE-2026-66066 với CVSS 9.5.
Theo advisory, rủi ro xuất hiện khi ứng dụng dùng libvips để xử lý ảnh và chấp nhận upload từ người dùng không tin cậy. Rails có thể chuyển các tệp đính kèm không đáng tin sang các thao tác “unsafe” của libvips, tạo ra khả năng arbitrary file read. Các bí mật có thể bị lộ gồm secret_key_base, Rails master key, mật khẩu cơ sở dữ liệu, khóa dịch vụ lưu trữ đám mây và API tokens; từ đó có thể dẫn tới RCE hoặc lateral movement tùy theo dữ liệu trích xuất được.
Các phạm vi ảnh hưởng được nêu gồm Rails 7.0.0–7.2.3.1, 8.0.0–8.0.5, 8.1.0–8.1.3 và một số trường hợp Rails 6.x khi Active Storage cấu hình dùng Vips. Khuyến nghị: nâng cấp Rails lên 7.2.3.2, 8.0.5.1 hoặc 8.1.3.1, đồng thời rotate toàn bộ bí mật mà tiến trình ứng dụng có thể đọc. Bản vá yêu cầu libvips 8.13+ (và ruby-vips 2.2.1+ nếu cài đặt). Rails cũng nêu có thể bật Vips.block_untrusted(true)/biến môi trường VIPS_BLOCK_UNTRUSTED như biện pháp tạm thời khi chưa nâng cấp ngay.