CVE-2026-66066: Kritische Ruby on Rails Lücke erlaubt Dateizugriff und RCE

Ruby on Rails hat am 29. Juli 2026 eine kritische Sicherheitslücke in Active Storage geschlossen. Die Schwachstelle mit dem Spitznamen KindaRails2Shell (CVE-2026-66066) hat einen CVSSv4-Wert von 9.5 und ermöglicht es Angreifern, unauthentifiziert Dateien vom Server auszulesen. Im schlimmsten Fall lässt sich daraus eine Remote Code Execution ableiten. Betroffen sind alle Rails-Anwendungen, die libvips zur Bildverarbeitung nutzen und Bildupload von unbekannten Nutzern akzeptieren.

Was ist passiert?

Am 29. Juli 2026 veröffentlichte das Ruby on Rails Projekt ein Sicherheitsadvisory für CVE-2026-66066. Der Forscher der Firma Ethiack und GMO Flatt Security meldeten die Schwachstelle unabhängig voneinander. Am 31. Juli folgten technische Details und forensische Hilfsmittel, nachdem mehrere Forscher den Angriffsvektor reverse-engineered und Exploit-Code veröffentlicht hatten. Am 3. August 2026 veröffentlichte Rapid7 eine vollständige technische Analyse inklusive Metasploit-Modul.

Die Schwachstelle liegt in der Art und Weise, wie Active Storage Bilddateien über libvips verarbeitet. libvips nutzt sogenannte Operations zum Laden und Speichern von Bildformaten, einige davon sind als unsicher markiert. Active Storage hat diese unsicheren Operationen vor der Verarbeitung von Benutzerdateien nicht deaktiviert. Ein Angreifer kann eine kreierte Datei hochladen, die sich als MATLAB-Datei ausgibt, tatsächlich aber einen HDF5-Container enthält, der Dateien von einem beliebigen Pfad auf dem Server ausliest.

Wer ist betroffen?

Betroffen sind alle Ruby on Rails Anwendungen, die folgende Bedingungen erfüllen:

1. Active Storage verwenden (Standard ab Rails 7.0)
2. libvips als Variant-Processor nutzen (Standard ab Rails 7.0)
3. Bilduploads von unvertrauenswürdigen Nutzern akzeptieren

Nicht betroffen: Anwendungen, die ImageMagick (Magick) statt libvips als Bildprozessor verwenden. Auch Anwendungen ohne Bildupload oder mit ausschließlich serverseitigen Attachments sind nicht betroffen.

Betroffene Versionen: Rails 7.0.0 bis 7.2.3.1, Rails 8.0.0 bis 8.0.5, Rails 8.1.0 bis 8.1.3. Auch Rails 6.0 und 6.1 können betroffen sein, wenn Active Storage konfiguriert wurde.

Gefixte Versionen: Rails 7.2.3.2, Rails 8.0.5.1, Rails 8.1.3.1. Für Branches vor 7.2 liegen keine Fixes vor. Ruby-vips muss mindestens Version 2.2.1 und libvips mindestens 8.13 sein.

Wie kritisch ist das?

CVSSv4 9.5 (Critical). Der Angriff erfordert keine Authentifizierung und keinen Benutzer-Interaktion. Ein Angreifer kann Dateien auslesen, die für den Rails-Prozess zugänglich sind. Dazu gehören secret_key_base, Rails Master Key, Datenbankzugangsdaten und Storage-Service-Credentials. Mit diesen Secrets lässt sich eine vollständige Remote Code Execution aufbauen, wie Rapid7 in der Analyse vom 3. August verifizierte.

Stand 3. August 2026: Rapid7 ist sich keiner aktiven Ausnutzung in der Wildnis bewusst. Der Exploit-Code ist aber öffentlich verfügbar.

Was sollten Admins jetzt tun?

1. Rails-Version prüfen: Mit rails -v oder bundle exec rails -v die installierte Version ermitteln. Liegt sie unter 7.2.3.2, 8.0.5.1 oder 8.1.3.1, besteht akuter Handlungsbedarf.
2. Rails aktualisieren: Auf eine der gefixten Versionen upgraden (7.2.3.2, 8.0.5.1 oder 8.1.3.1). Für Branches vor 7.2: Migration auf einen unterstützten Branch.
3. libvips-Version prüfen: vips --version ausführen. Muss mindestens 8.13 sein. Ruby-vips muss 2.2.1 oder höher sein.
4. Workaround bei altem libvips: Wenn libvips vor 8.13 installiert ist, kann als Workaround die libvips-Abhängigkeit komplett entfernt oder die Umgebungsvariable VIPS_BLOCK_UNTRUSTED gesetzt werden.
5. Secrets austauschen: Nach einem Patch secret_key_base, Rails Master Key, Storage-Service-Credentials, Datenbankzugangsdaten und alle Drittanbieter-Tokens neu generieren. Das setzt aktive Sessions zurück und betrifft verschlüsselte Cookies.
6. Forensik starten: Das Rails-Projekt stellt forensische Tools bereit, mit denen sich prüfen lässt, ob die Anwendung bereits kompromittiert wurde. Wichtig: Unattached Blobs können durch automatisches Aufräumen verschwinden, deshalb schnell handeln.

Einordnung für Unternehmen

Für KMU mit eigenen Rails-Anwendungen ist dies ein dringendes Update. Der Angriff ist unkompliziert, der Exploit öffentlich und die Schwachstelle ermöglicht einen vollständigen Serverzugriff. Anwendungen ohne Bildupload von unbekannten Nutzern sind nicht betroffen. Bei unsicherheit: Rails-Version prüfen, Update durchziehen, Secrets rotieren.

Passende Anleitungen auf S-EDV

1. Linux Foundation warnt vor Akrites: Open-Source-Sicherheit und KI-Bedrohungen – Thematisch passend zur Open-Source-Sicherheit und der Frage, wie Projekte mit Schwachstellen umgehen.
2. Cordyceps: Kritische CI/CD-Lücken gefährden 300 GitHub-Repos – Zeigt das Muster kompromittierter Build-Pipelines, ähnlich der Supply-Chain-Thematik bei Rails.

Quellen

1. Rapid7: KindaRails2Shell CVE-2026-66066 ETR
2. GitHub Advisory: GHSA-xr9x-r78c-5hrm
3. Heise: Key theft in Ruby on Rails