ریلز باگ بحرانی Active Storage رو وصله کرد
خلاصهٔ کامل‌تر
نگهدارنده‌های Rails یه آسیب‌پذیری بحرانی تو Active Storage — همون بخشی که آپلود فایل و ضمیمه‌ها رو مدیریت می‌کنه — با شناسهٔ CVE-2026-66066 وصله کردن. طبق بولتن امنیتی منتشرشده، مهاجمی که حتی لاگین هم نکرده می‌تونه یه تصویر دستکاری‌شده آپلود کنه و از روی سرور فایل دلخواه بخونه. شرطش اینه که اپ برای ساخت تصویر بندانگشتی از libvips استفاده کنه و آپلود تصویر از سمت کاربرهای ناشناس براش باز باشه.
خطر اصلی همین‌جاست: مهاجم به فایل‌های اپ و محیط پروسه می‌رسه، جایی که معمولاً secret_key_base (همون مستر‌کی ریلز) و اطلاعات ورود دیتابیس، استوریج ابری و بقیهٔ سرویس‌ها نگه داشته میشه. آکامای که این زنجیره رو «KindaRails2Shell» اسم گذاشته، می‌گه با لو رفتن این کلید مهاجم عملاً کلید اصلی رمزنگاری اپ رو در اختیار داره؛ می‌تونه کوکی نشست جعل کنه و دادهٔ سریالایزشده رو دستکاری کنه، و این مستقیم به اجرای کد از راه دور روی سرور ختم میشه.
نسخه‌های آسیب‌پذیر عبارتن از Active Storage قبل از 7.2.3.2، شاخهٔ 8.0.x قبل از 8.0.5.1 و 8.1.x قبل از 8.1.3.1. ریلز ۶ فقط وقتی درگیره که Active Storage خارج از تنظیمات پیش‌فرضش پیکربندی شده باشه. کاربرهای ImageMagick از این مسیر آسیب نمی‌بینن، ولی libvips پردازشگر پیش‌فرضِ ایمیج‌های رسمی داکر ریلز و همین‌طور نصب‌های دبیان و اوبونتوئه، پس دامنهٔ تأثیر اصلاً کم نیست.
تیم ریلز توصیه می‌کنه اول libvips رو به 8.13 یا بالاتر آپدیت کنین و بعد secret_key_base، اطلاعات دیتابیس، کلیدهای سرویس Active Storage و هر راز دیگه‌ای که پروسهٔ اپ بهش دسترسی داره رو بچرخونین. روی libvips 8.13 به بعد میشه قابلیت آسیب‌پذیر رو موقتاً با متغیر محیطی VIPS_BLOCK_UNTRUSTED یا فراخوانی Vips.block_untrusted(true) (با ruby-vips 2.2.1 به بالا) خاموش کرد. برای نسخه‌های قدیمی‌تر libvips هیچ راهکار موقتی وجود نداره.
قرار بود جزئیات فنی تا آخر آگوست منتشر نشه تا کاربرها فرصت آپدیت داشته باشن، ولی چون اکسپلویت‌های عمومی خیلی زود بیرون اومد، نگهدارنده‌ها جزئیات کامل و یه ابزار بررسی فارنزیک هم منتشر کردن. باگ رو پژوهشگرهای Ethiack و GMO Flatt Security به‌صورت مسئولانه گزارش کرده بودن. به گفتهٔ Ethiack، WAF شاید یه‌کم وقت بخره، ولی مهاجم‌هایی که از ابزار هوش مصنوعی استفاده می‌کنن می‌تونن زنجیرهٔ حمله رو از روی تفاوت وصله‌ها بازسازی کنن.
نکات کلیدی:
- CVE-2026-66066 تو Active Storage: خوندن فایل دلخواه سرور با آپلود تصویر دستکاری‌شده، بدون احراز هویت
- فقط وقتی مسیر حمله باز میشه که libvips پردازشگر تصویر باشه و آپلود برای کاربر ناشناس مجاز باشه
- لو رفتن secret_key_base یعنی جعل نشست و در نهایت اجرای کد از راه دور
- نسخه‌های امن: 7.2.3.2، 8.0.5.1 و 8.1.3.1 به بالا؛ ریلز ۶ فقط با پیکربندی غیرپیش‌فرض
- بعد از آپدیت، چرخوندن مستر‌کی و همهٔ اعتبارنامه‌های در دسترس اپ فراموش نشه
