ثغرة روبي أون ريلز الجديدة قد تسمح لمهاجمين دون تسجيل دخول بقراءة ملفات حساسة من الخادم عبر رفع صور خبيثة، ما يهدد مفاتيح التشفير وكلمات المرور.
ما هي ثغرة روبي أون ريلز الجديدة؟
أصدرت Ruby on Rails تحديثات عاجلة لمعالجة ثغرة حرجة في Active Storage تحمل المعرّف CVE-2026-66066، مع درجة خطورة 9.5 من 10. الخلل يظهر عند معالجة الصور عبر libvips، ما يفتح باباً لقراءة ملفات يملك التطبيق صلاحية الوصول إليها.
الخطورة هنا لا تتعلق بتعطل الخدمة فقط، بل بإمكانية كشف أسرار تشغيل التطبيق مثل secret_key_base ومفاتيح Rails الرئيسية وبيانات قواعد البيانات. ووفقاً لتغطية تيكبامين، فإن تسرب هذه البيانات قد يمهّد لاحقاً لتنفيذ أوامر عن بُعد أو التحرك إلى أنظمة متصلة.
كيف يمكن استغلال الثغرة عبر رفع الصور؟
تكمن المشكلة في الحدود بين Active Storage وlibvips، إذ يمكن لبعض العمليات غير الآمنة داخل libvips التعامل مع مدخلات عدائية. وعندما يرفع المستخدم صورة مصممة بعناية، قد يجري تمريرها إلى مسار غير موثوق يسمح بكشف ملفات من الخادم.
لماذا يعد هذا السيناريو خطيراً؟
- الهجوم لا يتطلب حساباً مسجلاً في التطبيق.
- يكفي وجود رفع صور من مستخدمين غير موثوقين.
- لا يشترط وجود صفحة منفصلة لتغيير حجم الصور أو إنشاء الصور المصغرة.
- الملفات المقروءة قد تشمل أسرار التطبيق والاعتمادات السحابية ورموز API.
بمعنى آخر، أي منصة تعتمد على رفع الصور ومعالجة Active Storage مع libvips قد تكون ضمن دائرة الخطر إذا لم تُحدّث فوراً.
ما الإصدارات المتأثرة في روبي أون ريلز؟
تشمل الإصدارات المتأثرة عملياً فروع Rails 7.0 حتى 7.2.3.1، وRails 8.0 حتى 8.0.5، وRails 8.1 حتى 8.1.3. أما Rails 6 فيتأثر فقط إذا كان Active Storage مضبوطاً يدوياً لاستخدام Vips، لأنه لم يكن الخيار الافتراضي في ذلك الجيل.
- Rails 7.0.0 إلى 7.2.3.1
- Rails 8.0.0 إلى 8.0.5
- Rails 8.1.0 إلى 8.1.3
- Rails 6.x عند تفعيل Vips يدوياً
ومن المهم الانتباه إلى أن الفروع 7.0 و7.1 وصلت إلى نهاية الدعم، لذلك لا تتوفر لها إصلاحات مباشرة. الحل العملي هنا هو الترقية إلى فرع مدعوم بدلاً من انتظار تصحيح غير متاح.
ما التحديثات المطلوبة لحماية الخادم؟
التوصية الأساسية هي التحديث إلى Rails 7.2.3.2 أو 8.0.5.1 أو 8.1.3.1. كذلك يجب أن يكون libvips بالإصدار 8.13 أو أحدث، ومع استخدام ruby-vips ينبغي الترقية إلى 2.2.1 أو أحدث.
خطوات الاستجابة السريعة
- ترقية Ruby on Rails إلى إصدار مُصحح فوراً.
- تحديث libvips وruby-vips إلى الإصدارات المطلوبة.
- تدوير جميع الأسرار التي يمكن للتطبيق قراءتها.
- مراجعة سجلات رفع الصور والطلبات المشبوهة.
كما يشير تيكبامين، فإن تثبيت التحديث وحده لا يكفي إذا كانت الأسرار قد سُرقت بالفعل قبل الإصلاح. لذلك تبقى ثغرة روبي أون ريلز من أخطر تنبيهات الأمن الحالية لمطوري الويب، خصوصاً للتطبيقات التي تستقبل صوراً من مستخدمين مجهولين.
