CVE-2026-66066 — KindaRails2Shell

PoC-Tool für Ruby on Rails Active Storage + libvips: beliebige Dateien lesen → bedingte Remote-Codeausführung (RCE).

Einzeldatei, Python 3.11+, reine Standardbibliothek, null Abhängigkeiten, mit integriertem MAT/HDF5-Hybrid-Payload, reinem Python-PNG-Pixeldecoder, Offset-Lesen, Schlüsselwiederherstellung, RCE- und Scan-Modus.

Kurzbeschreibung der Schwachstelle

Rails vertraut dem vom Client gemeldeten content_type (direkter Upload-Endpunkt), während libvips die Magic Bytes der Datei überprüft – dieselbe Datei wird auf zwei Ebenen als zwei verschiedene Formate behandelt. Ein Angreifer erstellt eine Hybriddatei, deren erste 10 Bytes (Text) MATLAB 5.0 vorgeben, während das Versionswort an den Bytes 124-125 MAT 7.3 (HDF5) deklariert. Über den HDF5-External File List-Mechanismus wird eine beliebige Datei des Servers gelesen (standardmäßig /proc/self/environ). Nach der Wiederherstellung von SECRET_KEY_BASE wird eine signierte Variation gefälscht, wodurch bedingt eine Befehlsausführung erreicht wird.

• Schwachstellen-ID: CVE-2026-66066
• CVSS v4: 9.5 (Critical), CWE-1188
• Betroffene Komponenten: Rails Active Storage + libvips (vips-Prozessor)
• Betroffene Versionen: < 7.2.3.2 / >= 8.0, < 8.0.5.1 / >= 8.1, < 8.1.3.1
• Behobene Versionen: 7.2.3.2 / 8.0.5.1 / 8.1.3.1, zusätzlich ist libvips >= 8.13 erforderlich

Verwendung

python3 kr2s.py <command> [options]

Allgemeine Parameter: Ziel-URL / Hostname / Batch-Datei, --entry, --proxy, benutzerdefinierte Pfade, TLS-Optionen, Timeout, User-Agent usw. Details finden Sie in python3 kr2s.py --help.

Lokales Docker-Lab (Reproduktion)

cd lab
RAILS_VERSION=8.1.3 docker compose up --build

⚠️ Haftungsausschluss

Nur für Sicherheitsforschung, Schwachstellenverifikation und defensive Tests. Die Befehle read / check / scan --active / rce laden persistente Blobs auf das Ziel hoch und führen Befehle auf dem Ziel aus. Bitte nur in einem wegwerfbaren Docker-Lab ausführen und nicht gegen nicht autorisierte Ziele verwenden.

Namensnennung & Referenzen

• Ursprüngliches Tool: 0xsha/KindaRails2Shell (MIT), dieses Repository ist ein Verteilungs-Mirror
• Ethiack-Analyse: https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066
• Offizielles Security-Advisory: https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm
• Offizielles Forensik-Tool: https://github.com/rails/rails-forensics-CVE-2026-66066