Rails Tambal Celah Kritis Active Storage yang Berpotensi Memicu Remote Code Execution

Tim pengembang Ruby on Rails merilis pembaruan keamanan untuk menutup kerentanan kritis pada komponen Active Storage yang memungkinkan penyerang membaca file secara sembarangan (arbitrary file read) dan berpotensi berkembang menjadi Remote Code Execution (RCE).

Kerentanan tersebut terdaftar sebagai CVE-2026-66066 dan mendapatkan tingkat keparahan Critical.

Active Storage Rentan Saat Menggunakan libvips

Rails merupakan framework web open source berbasis Ruby yang banyak digunakan untuk membangun website dan aplikasi web.

Salah satu komponen bawaannya adalah Active Storage, yang berfungsi menangani proses upload file dan lampiran.

Untuk membuat thumbnail gambar, Active Storage dapat menggunakan pustaka pemrosesan gambar seperti:

• libvips
• ImageMagick

Menurut advisory resmi Rails, kerentanan CVE-2026-66066 hanya dapat dieksploitasi ketika aplikasi menggunakan libvips sebagai image processor.

Dalam kondisi tersebut, penyerang dapat mengunggah gambar yang telah dimodifikasi secara khusus untuk membaca file apa pun yang berada di server.

Memerlukan Upload dari Pengguna yang Tidak Dipercaya

Agar serangan berhasil dilakukan, terdapat dua syarat utama:

• Aplikasi menggunakan libvips.
• Server mengizinkan pengguna yang tidak dipercaya (untrusted users) mengunggah file gambar.

Jika kedua kondisi tersebut terpenuhi, pelaku dapat mengakses berbagai file sensitif milik aplikasi.

Informasi yang berpotensi bocor meliputi:

• Variabel environment aplikasi.
• secret_key_base milik Rails.
• Kredensial database.
• Kredensial layanan cloud.
• Kredensial Active Storage.
• Rahasia (secret) lain yang dapat diakses oleh proses aplikasi.

Versi yang Terdampak

Kerentanan ini memengaruhi:

• Active Storage sebelum 7.2.3.2
• Active Storage 8.0.x sebelum 8.0.5.1
• Active Storage 8.1.x sebelum 8.1.3.1

Untuk Rails 6.x, kerentanan hanya berlaku apabila Active Storage dikonfigurasi di luar pengaturan bawaan (default).

Potensi Berujung pada Remote Code Execution

Firma keamanan Akamai memberi nama rantai serangan tersebut sebagai KindaRails2Shell.

Menurut Akamai, apabila penyerang berhasil memperoleh nilai secret_key_base, mereka akan memiliki kendali atas mekanisme kriptografi utama aplikasi Rails.

Dengan informasi tersebut, penyerang dapat:

• Memalsukan session cookie.
• Menandatangani Global IDs palsu.
• Memanipulasi data yang diserialisasi.
• Meningkatkan serangan hingga memperoleh Remote Code Execution (RCE) pada server.

Karena itu, kebocoran secret_key_base dianggap sebagai tahap awal menuju kompromi penuh terhadap aplikasi.

Langkah Mitigasi yang Direkomendasikan

Tim Rails menyarankan administrator segera melakukan pembaruan ke versi yang telah diperbaiki.

Selain itu, pengguna juga dianjurkan:

• Meng-upgrade libvips ke versi 8.13 atau lebih baru.
• Mengganti (rotate) secret_key_base.
• Mengganti kredensial database.
• Mengganti kredensial Active Storage.
• Mengganti seluruh secret yang dapat diakses aplikasi.

Solusi Sementara

Bagi sistem yang telah menggunakan libvips 8.13 atau lebih baru, fungsi yang rentan dapat dinonaktifkan sementara dengan:

• Menetapkan environment variable:

VIPS_BLOCK_UNTRUSTED=1

atau

• Memanggil fungsi:

Vips.block_untrusted(true)

Fungsi tersebut tersedia pada ruby-vips 2.2.1 atau versi yang lebih baru.

Namun, tidak tersedia solusi sementara bagi aplikasi yang masih menggunakan libvips versi sebelum 8.13.

Pengguna ImageMagick Tidak Terdampak

Rails menegaskan bahwa aplikasi yang menggunakan ImageMagick sebagai image processor tidak terdampak oleh jalur eksploitasi ini.

Meski demikian, administrator tetap perlu memeriksa konfigurasi karena libvips merupakan image processor bawaan pada:

• Official Rails Docker Image.
• Distribusi Debian.
• Distribusi Ubuntu.

Detail Teknis Awalnya Ditunda

Tim Rails awalnya berencana menunda publikasi detail teknis hingga 28 Agustus 2026 untuk memberi waktu kepada administrator melakukan pembaruan.

Namun, setelah proof-of-concept (PoC) publik beredar lebih cepat dari perkiraan, pengembang memutuskan untuk segera merilis:

• Detail teknis kerentanan.
• Panduan investigasi forensik.
• Alat bantu analisis insiden.

WAF Hanya Memberikan Perlindungan Sementara

Akamai juga telah merilis aturan Web Application Firewall (WAF) guna membantu melindungi pelanggan dari eksploitasi CVE-2026-66066.

Sementara itu, peneliti dari Ethiack mengingatkan bahwa WAF hanya memberikan waktu tambahan bagi administrator.

Mereka menilai pelaku ancaman yang memanfaatkan alat berbasis AI kemungkinan tetap dapat merekonstruksi rantai eksploitasi hanya dengan menganalisis perbedaan (patch diff) antara versi lama dan versi yang telah diperbaiki.