Rails Active Storage libvips Arbitrary File Read Vulnerability (CVE-2026-6066)

脆弱性概要 脆弱性名: CVE-2026-6066 CVSSスコア: 9.5 説明: この脆弱性により、認証されていない攻撃者が、注意深く作成された画像のアップロードを通じて、サーバー上の任意のファイルを読み取ることができます。 影響範囲 影響を受けるアプリケーション: libvipsを使用してActive Storageでの画像処理を行うRailsアプリケーションで、信頼できないユーザーからの画像アップロードを受入れているもの。 影響を受けるRailsバージョン: - Rails 7.0.0 から 7.2.3.1 - Rails 8.0.0 から 8.0.5 - Rails 8.1.0 から 8.1.3 - Rails 6.0.0 から 6.1.7.10（Active StorageがVipsを使うように設定されている場合のみ影響を受ける） 影響を受けるライブラリ: - libvips 8.13 以前 - ruby-vips 2.2.1 以前 修正方法 推奨対応: - Rails 7.2.3.2、8.0.5.1 または 8.1.3.1 へアップグレードする - アプリケーションが読み取ることのできるすべてのキーをローテーションする - libvips 8.13 またはそれ以降のバージョンを使用する - ruby-vips を使用している場合、2.2.1 またはそれ以降のバージョンにアップグレードする パッチ詳細: - パッチは、Active Storageが起動する際に を呼び出す - アプリケーションは を に設定することで、信頼できない添付ファイルをブロックできる - libvips 8.13 またはそれ以降のバージョンが必要 POCコード その他の情報 公開日: 2026年7月29日 研究者: Ethical と GMO Flatt Security Railsセキュリティチーム: 脆弱性の存在を確認し、パッチをリリースした まとめ この脆弱性は深刻なセキュリティ問題であり、認証されていない攻撃者が画像のアップロードを通じてサーバー上の任意のファイルを読み取れることを可能にします。影響を受けるRailsバージョンやライブラリへの早急なアップグレードと、適切なセキュリティ対策の実施を推奨します。

目標達成 すべての支援者に感謝 — 100%達成しました！

Rails Active Storage libvips Arbitrary File Read Vulnerability (CVE-2026-6066)

目標達成すべての支援者に感謝 — 100%達成しました！