🚨 एक झूठी छवि एक रेल्स सर्वर को एक खुला फाइल कैबिनेट में बदल सकती है — यही कारण है कि $ICP मायने रखता है ♾️ Ruby on Rails ने CVE-2026-66066 को पैच कर दिया है — एक गंभीर वुल्नरेबिलिटी जिसका CVSS स्कोर 9.5 है। एक अनाधिकृत हमलावर एक विशेष रूप से निर्मित फाइल को एक छवि के रूप में छिपाकर अपलोड कर सकता है और Rails Active Storage का दुरुपयोग करके libvips के साथ एप्लिकेशन के लिए उपलब्ध किसी भी फाइल को पढ़ सकता है। संभावित रूप से प्रभावित: • secret_key_base • Rails मास्टर कुंजियाँ • डेटाबेस पात्रता • AWS, Azure या Google Cloud कुंजियाँ • API टोकन • Rails प्रक्रिया पर्यावरण जब ये रहस्य चोरी हो जाते हैं, तो हमलावर विश्वसनीय एप्लिकेशन डेटा का झूठा निर्माण कर सकते हैं, संबंधित इंफ्रास्ट्रक्चर में प्रवेश कर सकते हैं और संभवतः रिमोट कोड निष्पादन प्राप्त कर सकते हैं। वुल्नरेबल स्टैक एक कंपोनेंट को फाइल की घोषित कंटेंट टाइप से पहचानने पर भरोसा करती है, जबकि दूसरा इसके आंतरिक बाइट्स से पहचानता है। एक हमलावरी “छवि”। कई पुस्तकालय। उनके बीच एक मतभेद। पूरे एप्लिकेशन का संभावित नियंत्रण। अभी तक कोई पुष्टि पीड़ित या प्रचलित दुरुपयोग की पुष्टि नहीं हुई है, लेकिन शोधकर्ताओं ने अब किसी भी फाइल पढ़ने से लेकर रिमोट कोड निष्पादन तक की कार्यशील तकनीकी श्रृंखला प्रकाशित कर दी है। प्रभावित संचालकों को Active Storage को अपग्रेड करना होगा: • Rails 7.2.3.2 • Rails 8.0.5.1 • Rails 8.1.3.1 उन्हें libvips को कम से कम 8.13 तक अपग्रेड करना होगा और Rails प्रक्रिया के सभी सीक्रेट्स को पुनः परिवर्तित (rotate) करना होगा। कोड पैच करने से पहले से ही चोरी हो सकने वाले पात्रता मान पुनः प्राप्त नहीं होते। इसका मतलब यह नहीं है कि Rails बेकार है। यह पारंपरिक क्लाउड स्टैक की संरचनात्मक कमजोरी को दर्शाता है: फ्रेमवर्क, छवि प्रसेसर,ऑपरेटिंग-सिस्टम फ़ाइलें, पर्यावरण सीक्रेट, डेटाबेस, क्लाउड खाते, स्टोरेज सेवाएँ, और तीसरे पक्ष के API। एक संप्रभु सीमा को संक्रमित करें,और हमलावर पूरे इंफ्रास्ट्रक्चर की सीढ़ी पर चढ़ना شुरू करता है। $ICP मौलिक रूप से अलगदृष्टिकोणअपनाता है। Canisters WebAssembly कोडऔर स्थायी स्थिति को मिलाते हैं,अलग-अलग Wasm सैंडबॉक्स मेंनिष्पादितहोते हैं,औरअलग-अलगएप्लिकेशनसर्वर,डेटाबेससर्वरया पारंपरिक क्लाउडइंफ्रास्ट्रक्चरकेबिना,एप्लिकेशनलॉजिक,डेटाऔरप्रमाणितवेबसंसाधनशोषणकरसकते हैं। $ICPडेवलपर्ससेवुल्नरेबलकोडलिखनेसेनहींबचा सकता। यहजोकरसकता है,वहहमलावरपारंपरिकतौरपरदुरुपयोगकरते हैंउससभीइंफ्रास्ट्रक्चर,पात्रताऔरमध्यवर्तीसॉफ़्टवेयरकोहटा-हटा-देना है —जबकि canisters कोइसोलेटकियाजाता हैताकिवहएकदूसरेकीमेमोरीसिर्फपढ़ने मेंसक्षमनहींहों। Web3लगातारटोकनलॉन्चकरता है। $ICP @DFINITYद्वाराइंटरनेटकीसुरक्षाआधारभूति पुनःबना رहा है। ♾️ $ICP मिशन का समर्थन करें: 1e672d038cebc619d93186418fa98f6499dbdb9cfdfac54f366c61a4a4ee4362 https://t.co/gKrL3T0Bqm #ICP #InternetComputer #DFINITY #CyberSecurity #RubyOnRails #CVE202666066 #CloudSecurity #WebAssembly #Canisters #SovereignCloud #Blockchain #Web3