1. Главная
  2. Новости
  3. В Ruby on Rails исправили критическую уязвимость с риском удаленного выполнения кода

В Ruby on Rails исправили критическую уязвимость с риском удаленного выполнения кода

В Ruby on Rails исправили критическую уязвимость с риском удаленного выполнения кода

Разработчики Ruby on Rails закрыли критическую уязвимость CVE-2026-66066 в компоненте Active Storage. Проблема получила 9,5 балла из 10 по шкале CVSS и позволяла неаутентифицированному злоумышленнику читать произвольные файлы на сервере, а при определенных условиях - выполнять код удаленно.

Атака возможна в приложениях, которые используют libvips для обработки изображений через Active Storage и разрешают загрузку файлов недоверенным пользователям. Специально подготовленный файл может заставить библиотеку обратиться к данным на сервере, включая переменные окружения, secret_key_base, мастер-ключ Rails, пароли от баз данных, ключи облачных хранилищ и API-токены. Приложения с MiniMagick уязвимость не затрагивает.

Проблема присутствует в Active Storage до версии 7.2.3.2, в ветке 8.0 до 8.0.5.1 и в ветке 8.1 до 8.1.3.1. Исправления выпущены в Rails 7.2.3.2, 8.0.5.1 и 8.1.3.1. Для безопасной работы также требуется libvips версии 8.13 или новее.

Разработчики рекомендуют не ограничиваться установкой обновления. Все секреты, доступные процессу приложения, следует считать потенциально скомпрометированными и заменить, включая ключи Rails, учетные данные баз данных и токены сторонних сервисов. Если обновление временно невозможно, можно заблокировать небезопасные операции libvips через VIPS_BLOCK_UNTRUSTED или Vips.block_untrusted(true).

РЕКОМЕНДУЕМ

похожие материалы

Стрелочка
Стрелочка
«Газинформсервис» и Security Vision проведут вебинар о сертифицированной среде на базе СУБД Jatoba
«Газинформсервис» и Security Vision проведут вебинар о сертифицированной среде на базе СУБД Jatoba

Компании «Газинформсервис» Security Vision проведут совместный вебинар, в рамках которого эксперты расскажут о возможностях использования сертифицированной отечественной СУБД «Ятоба» в составе решений Security Vision.

подробнее Стрелочка