RubyベースのWeb開発フレームワーク「Ruby on Rails」で、未認証の攻撃者でもリモートコード実行（RCE）に発展させる恐れがある深刻な脆弱性が見つかり、今週、修正版が公開された。SecurityWeekが8月1日付で報じた。
脆弱性は「CVE-2026-66066」として登録され、CVSSスコアは9.5となっている。任意ファイル読み取りにつながる不具合で、機密情報の漏えいにとどまらず、最終的にRCEや他システムへの水平移動に悪用される可能性がある。
Railsのセキュリティアドバイザリによると、デフォルト設定のRailsアプリケーションが画像変換処理を行う際、未認証の攻撃者がサーバー上の任意のファイルを読み取れるという。読み取り対象には、プロセスの環境変数も含まれる。
漏えいした環境変数から、攻撃者がsecret_key_baseや外部システムの認証情報を取得し、それらを悪用してRCEに発展させる恐れがあるとしている。
Active Storageに関するこの問題は、7.2.3.2、8.0.5.1、8.1.3.1で修正された。Rails開発チームは、該当環境を速やかに更新するとともに、libvipsも少なくとも8.13以上に引き上げるよう推奨している。
また、アップデートによって脆弱性そのものは解消できる一方、すでに漏えいした機密情報は回収できないとも指摘している。影響を受けたアプリケーションについては、当該プロセスから参照可能な機密情報は漏えいした前提で扱い、差し替えるよう呼びかけている。
セキュリティ企業Rapid7によると、7月30日時点で、この脆弱性が実際の攻撃に悪用された事例は確認されていない。
著者について
Chi-gyu Hwang
delight@d-today.co.kr