CVE-2026-66066 — KindaRails2Shell

Ruby on Rails Active Storage + libvips: herramienta PoC para lectura arbitraria de archivos → ejecución remota de código (RCE) condicional.

Archivo único, Python 3.11+, solo biblioteca estándar y cero dependencias, con cargas útiles híbridas MAT/HDF5, decodificador de píxeles PNG en Python puro, lectura por desplazamiento, recuperación de claves, RCE y modo de escaneo.

Resumen de la vulnerabilidad

Rails confía en el content_type informado por el cliente (endpoint de subida directa), mientras que libvips inspecciona los bytes mágicos del archivo: el mismo archivo se interpreta como dos formatos diferentes en dos capas. El atacante construye archivos híbridos en los que los primeros 10 bytes de texto declaran MATLAB 5.0 y los bytes 124-125 (palabra de versión) declaran MAT 7.3 (HDF5); mediante el mecanismo External File List de HDF5, lee archivos arbitrarios del servidor (por defecto /proc/self/environ). Tras recuperar SECRET_KEY_BASE, falsifica la variación de firma y consigue ejecución de comandos condicional.

• ID de vulnerabilidad: CVE-2026-66066
• CVSS v4: 9.5 (Crítico), CWE-1188
• Componentes afectados: Rails Active Storage + libvips (procesador vips)
• Versiones afectadas: < 7.2.3.2 / >= 8.0, < 8.0.5.1 / >= 8.1, < 8.1.3.1
• Versiones corregidas: 7.2.3.2 / 8.0.5.1 / 8.1.3.1, y se requiere libvips >= 8.13

Uso

python3 kr2s.py <command> [options]

Parámetros generales: URL objetivo / nombre de host / archivos por lotes, --entry, --proxy, rutas personalizadas, opciones TLS, timeout, User-Agent, etc. Consulta python3 kr2s.py --help para más detalles.

Laboratorio Docker local (reproducción)

cd lab
RAILS_VERSION=8.1.3 docker compose up --build

⚠️ Descargo de responsabilidad

Solo para investigación de seguridad, verificación de vulnerabilidades y pruebas defensivas. Los comandos read / check / scan --active / rce suben blobs persistentes al objetivo y ejecutan comandos en él; ejecútalo en un laboratorio Docker desechable y no lo uses contra objetivos no autorizados.

Atribución y referencias

• Herramienta original: 0xsha/KindaRails2Shell (MIT); este repositorio es un espejo de distribución
• Análisis de Ethiack: https://ethiack.com/info-hub/research/kindarails2shell-rails-rce-cve-2026-66066
• Aviso oficial: https://github.com/rails/rails/security/advisories/GHSA-xr9x-r78c-5hrm
• Herramienta forense oficial: https://github.com/rails/rails-forensics-CVE-2026-66066