RCE in Bing-Bildsuche: Ausnutzung von CVE-2026-32194 und CVE-2026-32191

Microsoft hat zwei kritische CVEs — CVE-2026-32194 und CVE-2026-32191 — für Schwachstellen in der Bing-Infrastruktur zur Bildverarbeitung vergeben, jeweils mit einem CVSS 9.8. Nach Angaben der Forscher von XBOW ermöglichte eine speziell präparierte SVG-Datei, die über die Bildersuche hochgeladen wurde, die Ausführung beliebiger Befehle auf den Verarbeitungsservern — sowohl unter Windows (mit den Rechten von NT AUTHORITY\SYSTEM) als auch unter Linux (mit root-Rechten). Microsoft hat beide Schwachstellen serverseitig noch vor der Veröffentlichung der Bulletins im März behoben; von Seiten der Nutzer sind keine Maßnahmen erforderlich. Öffentlicher PoC-Code ist seit dem 23. Juli verfügbar.

Technische Details der Schwachstellen

Beide Schwachstellen betreffen die Bildverarbeitungspipeline von Bing und nutzen denselben Mechanismus aus — die Delegierung der Verarbeitung bestimmter Formate an externe Programme über die Shell, wie sie für ImageMagick und kompatible Bibliotheken typisch ist. Sie haben jedoch unterschiedliche Einstiegspunkte:

• CVE-2026-32194 (CWE-77, command injection) — wird über die öffentliche Funktion „Bildersuche“ ausgenutzt: Die SVG-Datei wird in Base64-Kodierung im Feld imageBin an den Endpoint /images/kblob übermittelt.
• CVE-2026-32191 (CWE-78, OS command injection) — wird über den Crawler ausgenutzt: Der Angreifer legt das SVG auf einem beliebigen Host ab und übergibt die URL über den Parameter imgurl, woraufhin bingbot/2.0 die Datei in dieselbe Verarbeitungspipeline lädt.

Keiner der Wege erforderte nach Angaben der Forscher Authentifizierung, Cookies, Sitzungszustand oder Benutzerinteraktion. Microsoft stufte beide Schwachstellen als kritisch ein und verzeichnete zum Zeitpunkt der Veröffentlichung der Bulletins am 19. März weder eine öffentliche Offenlegung noch eine Ausnutzung in the wild.

Mechanik der Ausnutzung: vom „toten“ SSRF zur Shell

Wie XBOW beschreibt, sah der Ausgangspunkt zunächst wie ein blinder SSRF aus: Die umgekehrte Bildersuche lud eine URL vom Backend, das Ergebnis wurde jedoch nicht an den Client zurückgegeben. Ein Indikator war das Verhalten einiger Worker, die HTTP 500 zurückgaben, dabei aber weiterhin den empfangenen Inhalt luden und verarbeiteten.

Der zentrale Faktor war das Format SVG. Es handelt sich um XML und nicht um Rasterpixel — SVG kann Verweise auf andere Bilder enthalten. Wenn der Renderer solchen Verweisen folgt, übergibt er Formate, die er nicht selbst verarbeitet, an einen Delegate — ein externes Programm, das über die Shell aufgerufen wird. Auf dem von den Forschern identifizierten Pfad waren Delegates aktiviert, und ein Bildverweis, der mit dem Pipe-Symbol (|) begann, wurde von der Shell als Befehl und nicht als Dateiname interpretiert.

Die Nutzlast bestand aus einem SVG von einem Pixel Größe, dessen Bildverweis einen Befehl auf dem Worker ausführte und die Ausgabe per curl an einen externen Collector sendete. Nach Angaben von XBOW lieferten die Befehle auf Linux-Workern uid=0 und gid=0, während unter Windows systeminfo Windows Server 2022 Datacenter anzeigte und whoami /all die Privilegien SeImpersonatePrivilege und SeDebugPrivilege auswies. XBOW gibt an, ausschließlich sichere Lese-Befehle ausgeführt und nicht auf Nutzerdaten zugegriffen zu haben.

Wichtig ist: Details zur Ausnutzung und zum Privileg-Level wurden von den XBOW-Forschern beschrieben und sind in den Microsoft-Bulletins nicht unabhängig bestätigt; diese halten lediglich den kritischen Schweregrad der Schwachstellen fest.

Kontext: ImageMagick-Delegates als chronisches Problem

Die beschriebene Klasse von Schwachstellen ist nicht neu. 2016 zeigte ImageTragick (CVE-2016-3714) dasselbe Problem: ImageMagick-Delegates ermöglichten die Einschleusung von Befehlen über die Bildverarbeitung. Zehn Jahre später wiederholt sich das Muster — Bildkonverter werden noch immer nicht als Teil der Angriffsoberfläche wahrgenommen.

Wie der CISO von XBOW, Nico Waisman, anmerkte: „Anwendungen behandeln Bildverarbeiter wie eine Wasserleitung. Angreifer behandeln sie wie Parser.“ Die offizielle Sicherheitsdokumentation von ImageMagick weist ausdrücklich darauf hin, dass die Standardrichtlinie offen ist und für isolierte oder durch die Umgebung geschützte Umgebungen gedacht ist, nicht aber für öffentliche Dienste, die nicht vertrauenswürdige Dateien verarbeiten.

Bewertung der Auswirkungen

Auch wenn das Problem bei Bing konkret behoben ist, bleibt das beschriebene Muster für jede Organisation relevant, deren Bildverarbeitungspipeline Benutzerdateien annimmt oder Bilder über externe URLs lädt. Am stärksten gefährdet sind:

• Webanwendungen mit Funktionen zum Hochladen und Konvertieren von Bildern
• Dienste für umgekehrte Bildersuche und Crawler
• Serverseitige Systeme zur Generierung von Vorschaubildern und Thumbnails
• Alle Pipelines, die ImageMagick oder kompatible Bibliotheken mit aktivierten Delegates verwenden

Die Bing-Pipeline vereinte drei kritische Verstöße gleichzeitig: Der Handler für nicht vertrauenswürdige Dateien hatte Zugriff auf die Shell, lief mit maximalen Privilegien und verfügte über ausgehenden Internetzugang. Die Kombination dieser Faktoren verwandelte eine blinde Schwachstelle in eine vollwertige Remote-Code-Ausführung mit Bestätigung.

Praktische Empfehlungen

Für Organisationen, die ImageMagick oder kompatible Bibliotheken zur Verarbeitung nicht vertrauenswürdiger Bilder einsetzen:

1. Deaktivieren Sie Delegates in policy.xml: <policy domain="delegate" rights="none" pattern="*" />
2. Beschränken Sie die akzeptierten Formate. SVG, MVG und EPS können Verweise und Aufrufe von Interpreter-Komponenten enthalten — schließen Sie sie aus, sofern sie für die Business-Logik nicht kritisch sind.
3. Prüfen Sie delegates.xml und deaktivieren Sie alle Delegates, die nicht verwendet werden.
4. Führen Sie Konvertierungen in einer Sandbox aus mit minimalen Privilegien — nicht als root und nicht als SYSTEM.
5. Blockieren Sie ausgehenden Netzwerkzugriff von den Bildverarbeitungs-Workern. Gerade die ausgehende Verbindung macht aus einer blinden Schwachstelle eine bestätigte Ausnutzung.
6. Beschränken Sie serverseitige Downloads mittels Whitelist zulässiger Adressen und schließen Sie interne Netze aus.

Zur Überprüfung der tatsächlich geladenen Richtlinien verwenden Sie den Befehl magick identify -list policy.

Der Fall Bing ist ein praktischer Beleg dafür, dass ein Bildkonverter, der mit hohen Privilegien, Shell-Zugriff und Internetzugang arbeitet, einen vollwertigen Vektor für Remote Code Execution darstellt. Wenn Ihre Bildverarbeitungspipeline nicht vertrauenswürdige Inhalte annimmt, sollten Sie heute die Konfiguration der ImageMagick-Delegates und die Netzisolation der Worker prüfen, statt auf eine Wiederholung des ImageTragick-Szenarios in Ihrer eigenen Infrastruktur zu warten.