Ruby On Rails Uygulamalarında Kritik Dosya Okuma ve RCE Zafiyeti

Ruby on Rails ekosisteminde, CVE-2026-66066 koduyla tanımlanan ve Active Storage bileşenini etkileyen ciddi bir güvenlik açığı tespit edildi. Bu zafiyet, Vips görüntü işleme kütüphanesini kullanan uygulamalarda, saldırganların sisteme yükledikleri özel olarak hazırlanmış dosyalar aracılığıyla rastgele dosyaları okumasına ve nihayetinde uzaktan kod çalıştırmasına (RCE) imkan tanıyor.

Söz konusu açık, Rails 8.0 ve 8.1 sürümlerinin yanı sıra Vips yapılandırması aktif olan 7.0 ve üzeri sürümleri doğrudan etkiliyor. Rapid7 tarafından yapılan analizler, zafiyetin temelinde iki farklı güven sorunu olduğunu ortaya koyuyor. İlk olarak, Active Storage, doğrudan yükleme (direct-upload) uç noktasında kullanıcı tarafından sağlanan dosya türü bilgisini (content_type) sunucu tarafında doğrulamadan veritabanına kaydediyor. Bu durum, saldırganların bir MAT/HDF5 dosyasını görüntü dosyası gibi göstermesine olanak sağlıyor.

İkinci aşamada ise libvips kütüphanesinin dosya türünü belirleme yöntemi ile libmatio kütüphanesinin MAT sürümü tanımlama mantığı arasındaki uyumsuzluktan yararlanılıyor. Saldırganlar, geçerli bir variation_key kullanarak sistemin bu dosyayı işlemesini tetikleyebiliyor. Özellikle `config.active_support.message_serializer` ayarı JSON olarak yapılandırılmış uygulamalarda, bu zincirleme hata üzerinden Kernel#spawn veya Kernel#eval gibi fonksiyonlara erişilerek kod çalıştırma aşamasına geçilebiliyor.

Güvenlik araştırmacıları, 7.2.3.2, 8.0.5.1 ve 8.1.3.1 sürümlerinin bu saldırı vektörünü engellediğini doğruladı. Uygulama sahiplerinin, libvips kütüphanesinin güvensiz işlemelerine karşı korunmak için Rails sürümlerini bu yamalı sürümlere yükseltmeleri gerekiyor. Ayrıca, saldırganların uygulama sırlarına (secret_key_base) ihtiyaç duymadan bu zafiyeti tetikleyebilmesi, sorunun aciliyetini artırıyor.