Publicado en

Alerta de Seguridad: Parche Crítico en Ruby on Rails por Vulnerabilidad de Ejecución Remota de Código (RCE)

•Publicado enVulnerabilidades

Vulnerabilidad Crítica en Active Storage: Lo que las empresas deben saber

El equipo de mantenimiento de Ruby on Rails, uno de los frameworks de desarrollo web más utilizados a nivel global, ha emitido una alerta urgente respecto a una vulnerabilidad crítica en su componente Active Storage. Identificada como CVE-2026-66066, esta falla permite a atacantes no autenticados leer archivos arbitrarios del servidor y, en los escenarios más graves, lograr la ejecución remota de código (RCE).

¿Cómo funciona la amenaza?

Active Storage es la herramienta encargada de gestionar la carga de archivos y archivos adjuntos en aplicaciones Rails. Para procesar imágenes y generar miniaturas (thumbnails), el sistema suele apoyarse en librerías externas como libvips o ImageMagick.

El riesgo surge específicamente cuando se utiliza libvips y la aplicación permite la carga de imágenes por parte de usuarios no confiables. Un atacante puede subir una imagen especialmente manipulada para forzar al servidor a revelar archivos internos del sistema. Entre estos archivos se encuentra el secret_key_base, la clave maestra criptográfica de la aplicación.

El impacto empresarial: Del robo de datos al control total

La gravedad de esta vulnerabilidad radica en la escalada de privilegios. Según expertos de seguridad de Akamai, que han denominado a esta cadena de ataque como “KindaRails2Shell”, una vez que el atacante obtiene la clave maestra, puede:

  • Falsificar cookies de sesión para suplantar a cualquier usuario (incluyendo administradores).
  • Manipular datos serializados.
  • Ejecutar comandos directamente en el servidor subyacente (RCE).
  • Acceder a credenciales de bases de datos y servicios de almacenamiento en la nube.

Versiones Afectadas

La vulnerabilidad impacta a las siguientes versiones de Active Storage:

  • Versiones anteriores a la 7.2.3.2.
  • Rama 8.0.x anteriores a la 8.0.5.1.
  • Rama 8.1.x anteriores a la 8.1.3.1.

Cabe destacar que las instalaciones de Rails sobre Docker, Debian y Ubuntu suelen utilizar libvips por defecto, lo que incrementa el número de sistemas potencialmente expuestos.

Recomendaciones de Mitigación

Desde el departamento de ciberseguridad de Intedya, instamos a las organizaciones que utilicen este framework a tomar las siguientes medidas inmediatas:

  1. Actualización de Software: Actualizar Rails a las versiones parcheadas mencionadas anteriormente y asegurar que libvips esté en la versión 8.13 o superior.
  2. Rotación de Secretos: Tras la actualización, es imperativo rotar el secret_key_base, las credenciales de la base de datos y cualquier otra clave de API almacenada en el entorno de la aplicación.
  3. Medida Temporal: Si no es posible actualizar de inmediato, se puede desactivar la funcionalidad vulnerable configurando la variable de entorno VIPS_BLOCK_UNTRUSTED o llamando a Vips.block_untrusted(true) en aplicaciones que usen ruby-vips 2.2.1 o superior.

La disponibilidad de exploits públicos (PoC) hace que la ventana de respuesta sea mínima. La proactividad en la gestión de parches es, hoy más que nunca, la mejor defensa para la continuidad del negocio.

Fuentes