政府系Railsサイト、CVEパッチ適用から8時間後に攻撃を受ける
Government Rails Site Hit Hours After CVE Patch
Rietta社は、Ruby on Rails 8以降のActiveStorageに存在する深刻なリモートコード実行脆弱性（CVE-2026-66066、通称KindaRails2Shell）に対する緊急パッチを、公開から数時間以内に全クライアントに適用しました。ある州政府機関のサイトには、パッチ適用からわずか8時間後に、悪意あるBMPファイルを使った攻撃が試みられました。この攻撃は、Railsのフォレンジックツール公開や研究者による詳細な開示よりも前に行われており、開示のタイムラインが防御側に猶予を与えないことを示しています。Rietta社は、パッチを待つのではなく、修正プログラム自体に基づいて行動することの重要性を強調しています。
「私たちは複数のケースで防御側により多くの時間を与えるために技術的詳細を保留してきましたが、事態はあまりにも速く進んでいます。」
HNでの議論
35- throwatdem12311
これを上司に送ったところだ。柵を越えて、何も知らないパーティーに手榴弾を投げ込んだ気分だ。
ActiveStorageは使っていないが、Claudeは同じ方法で、私たちのアプリでも独自のファイルアップロードライブラリを介して、まったく同じような脆弱性を3分で再現できた。ただOpus 5を私たちのサイトに向けて、KindaRails2Shellに似た攻撃に対して脆弱かどうか尋ねただけでだ。
なんて時代に生きているんだろう。
- tyre
この記事は10分の1の長さで済んだはずだ。
- パッチにバグがあった
- それをクライアントに適用した
- パッチ公開から8時間以内に実際の悪用があった
- Railsチームは技術詳細の公開を急がなければならなかった。なぜなら、PoCが存在する時点で情報秘匿の意味がなくなったからだ
- comrade1234
これが起こるには、RailsサーバーでMATLABを実行している必要があるのですか？
- jeremyjh
素晴らしい記事だ、Claude。
- onemoresoop
このサイトのフォーマットはモバイルには本当に変だ。テキストが2行しか読めない。残りは大きなバナーに覆われている。iOSを使っているんだが。他にもこの問題が起きている人はいる？それとも私だけ？