Ruby on Rails Security đã công bố CVE-2026-66066, lỗi nghiêm trọng trong Active Storage variant processing. Ở cấu hình mặc định có dùng libvips, ứng dụng Rails hiển thị biến thể ảnh có thể cho phép attacker chưa xác thực đọc file tùy ý trên server, bao gồm cả process environment.

Tóm tắt nhanh

• Lỗi nằm trong Active Storage khi xử lý image variants bằng libvips.
• Attacker có thể upload file crafted rồi kích hoạt variant processing.
• Hậu quả có thể là arbitrary file read, lộ environment, secret và có khả năng leo thang RCE hoặc lateral movement.
• Ứng dụng bị ảnh hưởng nếu dùng config.active_storage.variant_processor = :vips và cho phép upload ảnh từ user không tin cậy.
• Chi tiết kỹ thuật exploit bị giữ lại và dự kiến công bố không muộn hơn 28/8/2026.

Cơ chế lỗi

libvips đọc và ghi nhiều định dạng file qua các loader/saver. Một số operation được đánh dấu là “unfuzzed”, tức không an toàn cho nội dung không tin cậy. Active Storage trước đó không vô hiệu hóa các operation này, nên file được tạo đặc biệt có thể khiến quá trình xử lý ảnh gọi nhầm operation nguy hiểm.

Theo advisory, một attack chain đã được báo cáo cho Rails Security. Nhóm Rails không công bố chi tiết ngay để tránh giúp attacker tấn công hệ thống chưa vá.

Điều kiện bị ảnh hưởng

Ứng dụng bị xem là ảnh hưởng nếu đồng thời có hai điều kiện:

• Dùng libvips cho Active Storage image processing: config.active_storage.variant_processor = :vips. Đây là cấu hình được load_defaults 7.0 đặt và các default sau chưa đổi.
• Cho phép upload ảnh từ người dùng không tin cậy.

Advisory nhấn mạnh “generating variants” không phải điều kiện riêng. Nếu ứng dụng có luồng hiển thị image variants, quản trị viên nên coi là có rủi ro.

Phiên bản bị ảnh hưởng

• activestorage < 7.2.3.2
• activestorage >= 8.0, < 8.0.5.1
• activestorage >= 8.1, < 8.1.3.1

Tác động bảo mật

File bị đọc có thể bao gồm environment của process Rails. Đây thường là nơi chứa secret_key_base, RAILS_MASTER_KEY, credential cloud storage, mật khẩu database, API token và key của dịch vụ bên thứ ba. Khi các secret này lộ, attacker có thể giả mạo session/cookie, truy cập storage, kết nối database hoặc di chuyển sang hệ thống khác.

Cách vá

• Nâng activestorage lên phiên bản đã vá.
• Đảm bảo libvips tối thiểu >= 8.13.
• Nếu libvips < 8.13, không có workaround an toàn vì bản này không thể disable unfuzzed operations.
• Nếu libvips >= 8.13 nhưng chưa nâng Rails ngay được, có thể đặt biến môi trường VIPS_BLOCK_UNTRUSTED.
• Nếu dùng ruby-vips >= 2.2.1, có thể gọi Vips.block_untrusted(true) trong initializer.

Rotate secret sau khi vá

Vá chỉ đóng lỗ hổng, không thu hồi secret nếu đã bị đọc trước đó. Rails Security khuyến nghị thay mọi secret mà process ứng dụng có thể đọc, gồm secret_key_base, master key, nội dung trong credentials.yml.enc, credential S3/GCS/Azure, mật khẩu database và token bên thứ ba. Đổi secret_key_base sẽ làm hết hạn session, encrypted cookie, signed cookie, signed global ID và Active Storage URL.

Checklist cho quản trị viên

• Kiểm tra Gemfile.lock để xác định phiên bản activestorage.
• Kiểm tra cấu hình config.active_storage.variant_processor.
• Kiểm tra phiên bản libvips trên server/container.
• Ưu tiên vá hệ thống có upload ảnh public hoặc bán public.
• Rà log upload/variant bất thường trước khi rotate secret.
• Rotate secret theo thứ tự có kiểm soát, tránh giữ secret cũ làm fallback lâu dài.

Phân tích

CVE-2026-66066 nguy hiểm vì bề mặt tấn công nằm ở chức năng rất phổ biến: upload và xử lý ảnh. Nhiều đội ngũ xem image processing là phần “phụ trợ”, nhưng khi nó chạy trong process web hoặc có quyền đọc file môi trường, một lỗi đọc file có thể biến thành sự cố toàn hệ thống.

Điểm cần nhớ là “arbitrary file read” không hề nhẹ nếu file bị đọc chứa credential. Với Rails, chỉ cần lộ secret_key_base hoặc master key, phạm vi xử lý đã vượt xa upload ảnh. Vì vậy cách phản ứng đúng không chỉ là cập nhật gem, mà là vá, rà log, rotate secret và kiểm tra lateral movement.

Nguồn: Ruby on Rails Security Announcements.