Vulnerabilidad crítica en Ruby on Rails permite leer archivos del servidor y podría escalar a control remoto

Qué ocurrió

Se confirmó una vulnerabilidad crítica (CVE-2026-66066) en Active Storage, el componente de Ruby on Rails que procesa imágenes subidas por los usuarios. Un atacante puede subir una imagen manipulada especialmente para leer archivos arbitrarios del servidor, incluyendo variables de entorno con credenciales de bases de datos y almacenamiento en la nube. Investigadores documentaron públicamente una cadena de ataque, llamada “KindaRails2Shell”, que escala este acceso hasta la ejecución remota de código (tomar control completo del servidor a distancia). Ya existe explotación activa confirmada, con pruebas de concepto disponibles públicamente.

Quién está expuesto

Para organizaciones

Aplicaciones construidas con Ruby on Rails que usan Active Storage con libvips (no ImageMagick) para procesar imágenes, y que aceptan subida de archivos de usuarios no confiables. libvips es el procesador por defecto en las imágenes oficiales de Rails para Docker y en instalaciones estándar de Debian y Ubuntu, por lo que muchas aplicaciones podrían estar expuestas sin que el equipo lo sepa.

A considerar

Como mitigación temporal mientras se aplica la actualización, es posible bloquear el procesamiento de archivos no confiables activando la variable de entorno VIPS_BLOCK_UNTRUSTED o llamando a Vips.block_untrusted(true) en la configuración de la aplicación. Rotar secret_key_base y las credenciales de base de datos y almacenamiento es indispensable incluso después de actualizar, porque pudieron haber sido leídas antes del parche.

Impacto potencial

Con acceso a las credenciales del servidor, un atacante puede escalar a control remoto completo de la aplicación: leer o modificar bases de datos, acceder a archivos almacenados en la nube, y moverse a otros sistemas conectados con las mismas credenciales.

Leer fuente original →