Mobile-Menu

EUVD-2026-51270 / CVE-2026-66066 Auslesen von Serverdateien via Bild-Uploads in Ruby on rails möglich

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Widas ID GmbH
FAST LTA GmbH
FTAPI Software GmbH

Über präparierte Bild-Uploads können Angreifer bei Ruby on Rails sensible Daten wie Datenbankpasswörter und API-Token auslesen. Anwendungen sollten umgehend gepatcht oder der bereitgestellte Workaround genutzt werden.

Ruby on Rails nutzt über seine Komponente Active Storage standardmäßig die Bildverarbeitungsbibliothek „libvips“, deren unsichere Operationen die Schwachstelle EUVD-2026-51270 / CVE-2026-66066 verursachen und Angreifern das Auslesen von Secrets ermöglichen.(Bild: James Thew - stock.adobe.com)
Ruby on Rails nutzt über seine Komponente Active Storage standardmäßig die Bildverarbeitungsbibliothek „libvips“, deren unsichere Operationen die Schwachstelle EUVD-2026-51270 / CVE-2026-66066 verursachen und Angreifern das Auslesen von Secrets ermöglichen.
(Bild: James Thew - stock.adobe.com)

Ruby on Rails hat einen Patch für eine kritische Schwachstelle in der Komponente Active Storage veröffentlicht. Dabei geht es um EUVD-2026-51270 / CVE-2026-66066 (CVSS-Score 9.5, EPSS-Score* noch nicht vergeben), die es unauthentifizierten Angreifern ermöglicht, beliebige Dateien von Anwendungsservern auszulesen.

Bei erfolgreicher Ausnutzung können die Umgebungsvariablen des Rails-Prozesses sowie sensible Daten offenleget werden, darunter „secret_key_base“, den Rails-Master-Key, Datenbankpasswörter, Zugangsdaten für Cloud-Speicher und API-Token. Das kann Angreifern die Ausführung von beliebigem Code Lateral Movement in verbundene Systeme ermöglichen. Betroffen sind die Rails-Versionen

  • 8.0.0.beta1, < 8.0.5.1
  • < 7.2.3.2
  • 8.1.0.beta1, < 8.1.3.1

Auslesen mithilfe präparierter Bild-Uploads

Action Pack ist die Rails-Komponente, die Webanfragen über Routing und Controller verarbeitet und Antworten wie HTML oder JSON erzeugt. Betroffen sind Rails-Anwendungen, die Active Storage für Bild-Uploads von nicht vertrauenswürdigen Benutzern einsetzen und dafür die externe Bildverarbeitungsbibliothek „libvips“ verwenden. In verwundbaren Rails-Versionen blockiert Active Storage bestimmte für nicht vertrauenswürdige Eingaben unsichere libvips-Operationen nicht. Durch den Befehl „load_defaults 7.0“ wird libvips in Rails standardmäßig als Bildprozessor ausgewählt, diese Voreinstellung gilt auch in späteren Standardkonfigurationen weiter. Das Problem wurde in den Versionen 7.2.3.2, 8.0.5.1 und 8.1.3.1 behoben.

Wer nicht sofort patchen kann, kann sich über den Workaround, der über GitHub veröffentlicht wurde, Abhilfe verschaffen. Darin steht, dass

  • es für libvips-Versionen vor 8.13 keine andere Möglichkeit gibt, als die Abhängigkeit von libvips aus der Anwendung zu entfernen.
  • bei einigen Anwendungen die Ruby-Bibliothek „ruby-vips“ möglicherweise nur für die Bildanalyse als Abhängigkeit definiert ist. Diese Anwendungen können ruby-vips aus der Rails-Datei „Gemfile“ entfernen, um libvips aus der Anwendung zu entfernen.
  • Anwendungen, die Active Storage nicht nutzen, ruby-vips ebenfalls aus dem Gemfile entfernen können, um die Überprüfungen beim Start zu vermeiden.
  • Anwendungen mit libvips ab Version 8.13 unsichere Bildverarbeitungsfunktionen auch ohne Rails-Update abschalten können, indem sie die Umgebungsvariable „VIPS_BLOCK_UNTRUSTED“ setzen.
  • Anwendungen, die ruby-vips in Version 2.2.1 oder neuer verwenden, stattdessen „Vips.block_untrusted(true)“ in einem Initializer aufrufen können.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50914975)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte