Ruby on Rails Active Storage の脆弱性 CVE-2026-66066：Metasploit モジュールが登場

Metasploit Exploit Targets Critical Ruby on Rails Active Storage RCE Flaw

2026/08/03 gbhackers — Ruby on Rails の Active Storage に存在する、深刻な脆弱性 CVE-2026-66066 に対する新たな Metasploit Framework モジュールがレビューのために提供された。それにより、Vips 画像処理バックエンドを利用するアプリケーションでのセキュリティ・リスクが高まっている。提案されたモジュールは “exploit/multi/http/rails_activestorage_vips_rce” であり、コントリビューターである jburgess-r7 により、Rapid7 Metasploit Framework の pull request #21733 に導入されている。現時点で、この pull request は未処理の状況であり、Metasploit Framework の main ブランチにはマージされていない。

Ruby on Rails を標的とする Metasploit エクスプロイト

脆弱性 CVE-2026-66066 は GHSA-xr9x-r78c-5hrm としても知られており、Vips バリアント・プロセッサを使用する Rails 環境に影響を及ぼす脆弱性である。この問題は、Active Storage と libvips に関連する、信頼されていないローダーの条件に起因するものである。その悪用に成功した攻撃者は、細工された画像処理リクエストや Rails で署名された variation データを操作することで、不正なファイル開示を起点としてリモートコード実行に至る可能性がある。

提案された Metasploit モジュールは、セキュリティ専門家による研究に基づいた攻撃チェーンを実装しており、有効な Active Storage variation key または完全な representation URL を悪用して、標的アプリケーションへのアクセスを確立する。

アクセスを確立した攻撃者は、標的アプリケーションからアクセス可能なコンテンツである、Rails 署名データなどの復元を試みる。それにより、悪意を持って署名された画像処理 variation の作成に必要な verifier key が取得される。続いて、偽造された variation が悪用され、ネイティブ ImageProcessing プリミティブを通じたコマンド実行がトリガーされる。

Rapid7 の提出資料によると、このモジュールは、さまざまな Rails 署名およびシリアライゼーション設定に対応しており、その中には SHA-1／SHA-256／SHA-384／SHA-512 の鍵生成方式の組み合わせが含まれる。

さらに、JSON／Marshal／MessagePack などの、各種の署名付きメッセージ形式にも対応することで、影響を受ける可能性がある Rails バージョンやデプロイメント設定全体での互換性を高めている。最新のリダイレクト・ベースの representation ルートに加えて、レガシーな Rails 6 representation ルートもサポートしている。

このエクスプロイトは、Rails バージョン 6.0.6.1／6.1.7.10／8.0.5 を使用し、Active Storage／image_processing／ruby-vips／MAT/HDF5 サポートなどの libvips ビルドが構成された、制御された環境でテストされている。

作者は、テスト中に Rails プロセス・アカウントの下で、コマンドシェルへのアクセスに成功したと報告している。この検証には、更新された Rails バージョン 8.0.5.1 のインスタンスも含まれているが、このテストの環境下では、以前に報告された任意ファイル読み取りの挙動は再現されなかった。

この pull request には、エクスプロイト・モジュール／ドキュメント／テスト仕様／MAT/HDF5 関連の補助的なサポート・アーティファクトを含む、11 件の変更ファイルと、3,100 行を超える追加が含まれている。静的解析／ドキュメント・チェック／RuboCop による検証／専用テスト・スイートは、いずれも失敗することなく完了したと報告されている。

作者は、開発およびレビューの過程で、AI 支援ツールを使用したことを明記している。その一方で、エクスプロイトの挙動とラボでの検証については、手動で確認したと説明している。

Ruby on Rails アプリケーションを運用している組織にとって必要なことは、Active Storage が Vips バリアント・プロセッサを使用する設定の有無を直ちに確認することだ。その上で、アドバイザリで参照されている、影響を受けるバージョンの範囲を精査すべきである。

管理者は、ベンダーが提供するセキュリティ更新プログラムを適用し、SECRET_KEY_BASE 値の漏洩が疑われる場合には、それらの値をローテーションする必要がある。さらに、画像処理および representation エンドポイントにおける異常なリクエストを監視し、Rails ワーカーによる予期しないアクティビティを調査する必要がある。

Metasploit への公式サポートに対して、このモジュールがマージされると悪用が容易になるため、脆弱な環境へのパッチ適用を、最優先事項として扱うべきである。

Ruby on Rails の Active Storage と libvips の組み合わせにおいて、信頼されていないローダーの条件に起因する深刻な脆弱性 CVE-2026-66066 が報告されています。この問題の原因は、画像処理ライブラリである libvips と Active Storage の連携部分で、信頼できないデータや署名されたバリエーション情報が適切に検証／制御されない点にあります。この条件が重なることで、細工された画像処理リクエストやデータの操作を攻撃者に許し、不正なファイルの開示やリモート・コード実行につながる危険性があります。ご利用のチームは、ご注意ください。