Publicado en

Vulnerabilidad crítica en Ruby on Rails: Riesgo de filtración de datos mediante subida de imágenes

•Publicado enVulnerabilidades

Alerta de Seguridad: CVE-2026-66066 en Active Storage

El equipo de seguridad de Ruby on Rails ha publicado correcciones de emergencia para una vulnerabilidad crítica identificada como CVE-2026-66066. Esta falla, que presenta una puntuación CVSS de 9.5, permite a atacantes no autenticados leer archivos arbitrarios del servidor de aplicaciones a través de la subida de imágenes especialmente manipuladas.

Desde el punto de vista empresarial, esto representa un riesgo de seguridad de primer nivel, ya que la explotación exitosa de esta vulnerabilidad podría exponer secretos críticos del entorno de ejecución, como contraseñas de bases de datos, claves maestras de Rails y credenciales de almacenamiento en la nube.

¿En qué consiste el problema técnico?

La vulnerabilidad reside en la interacción entre el componente Active Storage de Rails y la biblioteca de procesamiento de imágenes libvips. El fallo ocurre en el límite de confianza entre ambos sistemas: libvips admite diversos cargadores y operaciones que no son seguros para procesar entradas hostiles. Active Storage no bloqueaba adecuadamente estas operaciones no confiables, permitiendo que un archivo de imagen malicioso invocara funciones internas para leer archivos sensibles del sistema de archivos del servidor.

Es importante destacar que las aplicaciones que utilizan MiniMagick como procesador predeterminado no están expuestas a través de este vector de ataque específico.

Impacto y Riesgos Asociados

La capacidad de leer archivos del servidor no es el único peligro. La filtración de secretos como el secret_key_base puede permitir a los atacantes:

  • Ejecución remota de código (RCE) en el servidor.
  • Movimiento lateral dentro de la infraestructura de la red corporativa.
  • Acceso no autorizado a servicios de terceros mediante tokens expuestos.

Versiones Afectadas

El rango de versiones afectadas es amplio y abarca implementaciones modernas de Rails:

  • Rails 7.0.0 hasta 7.2.3.1
  • Rails 8.0.0 hasta 8.0.5
  • Rails 8.1.0 hasta 8.1.3
  • Versiones 6.x (solo si Active Storage está configurado explícitamente para usar Vips).

Recomendaciones de Mitigación para Empresas

En Intedya, recomendamos a los responsables de tecnología y seguridad de la información tomar las siguientes medidas de inmediato:

  1. Actualización Urgente: Actualizar las aplicaciones a las versiones parcheadas: 7.2.3.2, 8.0.5.1 o 8.1.3.1.
  2. Actualización de Dependencias: Asegurarse de que el servidor cuente con libvips 8.13 o superior y la gema ruby-vips 2.2.1 o superior.
  3. Rotación de Secretos: Una vez aplicada la actualización, es imperativo rotar todas las claves y credenciales que pudieran haber sido leídas por el proceso de la aplicación, incluyendo claves de bases de datos y tokens de API.
  4. Mitigación Temporal: Si la actualización inmediata no es posible, se puede configurar la variable de entorno VIPS_BLOCK_UNTRUSTED=true en sistemas que soporten libvips 8.13+.

La ciberseguridad proactiva es fundamental para mantener la continuidad del negocio. Mantener los frameworks de desarrollo actualizados es el primer paso para proteger los activos digitales de su organización.

Fuentes