https://cyberveille.ch/tags/activestorage/ Recent content in ActiveStorage on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 05 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-05-cve-2026-66066-exploitation-d-une-rce-activestorage-rails-quelques-heures-apres-le-patch/ Sat, 05 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-05-cve-2026-66066-exploitation-d-une-rce-activestorage-rails-quelques-heures-apres-le-patch/ <h2 id="-contexte">🗓️ Contexte</h2> <p>Publié le 4 septembre 2026 par Frank Rietta sur rietta.com, cet article est un post-mortem détaillé d&rsquo;un incident de sécurité impliquant la <strong>CVE-2026-66066</strong> (alias <em>KindaRails2Shell</em>), une vulnérabilité de type <strong>exécution de code à distance (RCE)</strong> avec un score <strong>CVSS 9.5/10</strong> affectant le composant <strong>ActiveStorage de Ruby on Rails 8 et versions ultérieures</strong>.</p> <h2 id="-découverte-et-divulgation">🔍 Découverte et divulgation</h2> <ul> <li><strong>21 juillet 2026</strong> : Découverte initiale par des chercheurs légitimes (Ethiack, dont André Baptista alias 0xacb).</li> <li><strong>22 juillet 2026</strong> : Notification responsable aux mainteneurs de Ruby on Rails.</li> <li><strong>29 juillet 2026</strong> : Publication du patch et attribution du numéro CVE. Le score CVSS n&rsquo;est pas encore assigné en journée, mais monte à 9.5 en soirée.</li> <li><strong>29 juillet 2026, 21h47 EDT</strong> : Un <strong>proof-of-concept (PoC) public</strong> est commité sur GitHub, utilisant un <strong>fichier BMP malformé</strong> pour déclencher l&rsquo;exploit — avant même la fin du déploiement du patch par Rietta.</li> <li><strong>30 juillet 2026, 18h51 EDT</strong> : Rails publie des outils forensiques avec des détails techniques.</li> <li><strong>31 juillet 2026, 6h56 EDT</strong> : Ethiack publie son analyse technique complète.</li> </ul> <p>L&rsquo;embargo initialement prévu jusqu&rsquo;au <strong>28 août 2026</strong> a été rendu caduc par la publication anticipée du PoC et la rétro-ingénierie du diff de patch par des tiers.</p>