Impatto Sistemico

Critico (78.84)

Sintesi

Rilasciato aggiornamento per risolvere una vulnerabilità di sicurezza con gravità “critica” in Ruby on Rails, noto framework open source per lo sviluppo di applicazioni web, scritto nel linguaggio di programmazione Ruby. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato la lettura di file arbitrari sul filesystem dei sistemi interessati e, in particolari condizioni, l’esecuzione di codice arbitrario.

Tipologia

• Arbitrary File Read
• Remote Code Execution

Descrizione e potenziali impatti

Rilevato lo sfruttamento attivo in rete della CVE-2026-66066, di tipo ” Insecure Default Initialization of Resource ” e con score CVSS 4.0 pari a 9.5, presente in Ruby on Rails Active Storage, ove configurato per utilizzare libvips nell’elaborazione delle immagini. Nel dettaglio, la vulnerabilità è dovuta all’utilizzo di meccanismi di sicurezza non adeguati che permetterebbero, ad utenti non autorizzati, la possibilità di invocare operazioni libvips considerate non sicure. Tale vulnerabilità, qualora sfruttata mediante la sottomissione di file opportunamente predisposti, da parte di un attaccante remoto non autenticato, potrebbe consentire la lettura di file arbitrari accessibili al processo Rails – incluse variabili d’ambiente, credenziali e segreti applicativi – favorendo ulteriori attività malevole fino alla possibile esecuzione di codice arbitrario sui sistemi interessati.

Prodotti e/o versioni affette

Ruby on Rails Active Storage

• 7.2.3.x, versioni precedenti alla 7.2.3.2
• 8.0.x, versioni precedenti alla 8.0.5.1
• 8.1.x, versioni precedenti alla 8.1.3.1

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.