Rails ist ein weit verbreitetes Open-Source-Webframework auf Basis von Ruby. Für Datei-Uploads und Anhänge nutzt es die eingebaute Komponente Active Storage, die aus hochgeladenen Mediendateien auch Vorschaubilder erzeugen kann. Dafür kommen Bildverarbeitungsbibliotheken wie libvips oder ImageMagick zum Einsatz.
Nach Angaben des Rails-Teams ist CVE-2026-66066 ausnutzbar, wenn libvips verwendet wird. Voraussetzung ist außerdem, dass der Server Bild-Uploads von nicht vertrauenswürdigen Nutzern erlaubt. Sind diese Bedingungen erfüllt, kann ein Angreifer speziell präparierte Bilder hochladen und damit beliebige Dateien auf dem Server lesen. Dazu zählt laut Bulletin auch die Prozessumgebung der Anwendung.
Gerade dieser Punkt ist sicherheitskritisch: In der Prozessumgebung befinden sich typischerweise „secret_key_base“ sowie Zugangsdaten für Datenbanken, Cloud-Speicher und andere Dienste. Akamai warnt deshalb ebenfalls vor CVE-2026-66066 und bezeichnet die Angriffskette als „KindaRails2Shell“. Das Unternehmen hebt insbesondere das Potenzial zur Remotecodeausführung hervor.
Akamai erläutert, dass ein kompromittiertes „secret_key_base“ dem Angreifer den kryptografischen Hauptschlüssel der Anwendung in die Hand gibt. Damit könne er Sitzungs-Cookies fälschen, globale Kennungen signieren und serialisierte Daten manipulieren, was unmittelbar in vollständige Remotecodeausführung auf dem zugrunde liegenden Server münden könne.
Betroffen sind Active-Storage-Versionen vor 7.2.3.2, die 8.0.x-Reihe vor 8.0.5.1 und die 8.1.x-Reihe vor 8.1.3.1. Rails 6.x ist nur dann verwundbar, wenn Active Storage abweichend von den Standardeinstellungen konfiguriert wurde.
Das Rails-Team empfiehlt ein Upgrade auf libvips 8.13 oder neuer. Außerdem sollen „secret_key_base“, Datenbank-Zugangsdaten, Zugangsdaten der Active-Storage-Dienste sowie alle weiteren Geheimnisse rotiert werden, auf die der Anwendungsprozess zugreifen konnte. Für Systeme mit libvips 8.13 oder neuer gibt es eine temporäre Abhilfemaßnahme: Administratoren können die anfällige Funktion per Umgebungsvariable „VIPS_BLOCK_UNTRUSTED“ deaktivieren oder bei Einsatz von ruby-vips 2.2.1 oder neuer „Vips.block_untrusted(true)“ aufrufen. Für Anwendungen mit libvips vor 8.13 gibt es keinen Workaround.
ImageMagick-Nutzer sind von diesem konkreten Angriffsvektor laut Rails nicht betroffen. Gleichzeitig weist das Projekt darauf hin, dass libvips in den offiziellen Rails-Docker-Images sowie in Debian- und Ubuntu-Setups standardmäßig verwendet wird.
Die Rails-Maintainer erklärten, technische Details zur Schwachstelle zunächst absichtlich zurückgehalten zu haben, um das Ausnutzungsrisiko zu senken, bis Nutzer Zeit zum Einspielen der Updates haben. Vollständige technische Informationen sollten ursprünglich am 28. August in den Rails-Foren veröffentlicht werden. Weil jedoch sehr schnell öffentliche Proof-of-Concept-Exploits auftauchten, entschieden sich die Maintainer, die vollständigen Details sowie Werkzeuge für forensische Untersuchungen ebenfalls zu veröffentlichen.
Entdeckt und verantwortungsvoll an das Rails-Team gemeldet wurde die Schwachstelle von Forschern von Ethiack und GMO Flatt Security Inc. Akamai teilte mit, sich vor der öffentlichen Offenlegung mit Ethiack abgestimmt zu haben, um Schutzmaßnahmen für Kunden vorzubereiten, und hat inzwischen Schutzregeln für Web Application Firewalls veröffentlicht. Ethiack merkt an, dass eine WAF Administratoren zwar Zeit verschaffen könne, Angreifer mit KI-Werkzeugen die Angriffskette anhand der Patch-Differenzen aber rekonstruieren können sollten.