Microsoft присвоила две критические CVE — CVE-2026-32194 и CVE-2026-32191 — уязвимостям в инфраструктуре обработки изображений Bing, каждая с оценкой CVSS 9.8. По данным исследователей из XBOW, специально сформированный SVG-файл, загруженный через поиск по изображению, позволял выполнять произвольные команды на серверах обработки — как на Windows (с привилегиями NT AUTHORITY\SYSTEM), так и на Linux (с правами root). Microsoft устранила обе уязвимости на стороне сервера до публикации бюллетеней в марте; действий со стороны пользователей не требуется. Публичный PoC-код доступен с 23 июля.
Технические детали уязвимостей
Обе уязвимости затрагивают конвейер обработки изображений Bing и эксплуатируют один и тот же механизм — делегирование обработки форматов внешним программам через shell, характерное для ImageMagick и совместимых библиотек. Однако у них разные точки входа:
- CVE-2026-32194 (CWE-77, command injection) — эксплуатируется через публичную функцию «Поиск по изображению»: SVG-файл передаётся в кодировке base64 в поле
imageBinна эндпоинт/images/kblob. - CVE-2026-32191 (CWE-78, OS command injection) — эксплуатируется через краулер: атакующий размещает SVG на любом хосте и передаёт URL через параметр
imgurl, после чегоbingbot/2.0загружает файл в тот же конвейер обработки.
Ни один из маршрутов, по данным исследователей, не требовал аутентификации, cookies, состояния сессии или взаимодействия пользователя. Microsoft классифицировала обе уязвимости как критические и на момент публикации бюллетеней 19 марта зафиксировала отсутствие как публичного раскрытия, так и эксплуатации в дикой природе.
Механика эксплуатации: от «мёртвого» SSRF до shell
Как описывает XBOW, исходная точка выглядела как слепой SSRF: обратный поиск по изображению загружал URL с бэкенда, но результат не возвращался клиенту. Индикатором стало поведение некоторых воркеров, которые возвращали HTTP 500, но при этом продолжали загружать и обрабатывать полученный контент.
Ключевым оказался формат SVG. Это XML, а не растровые пиксели — SVG может содержать ссылки на другие изображения. Когда рендерер следует таким ссылкам, он передаёт форматы, которые не обрабатывает самостоятельно, делегату — внешней программе, вызываемой через shell. На пути, который обнаружили исследователи, делегаты были включены, и ссылка на изображение, начинающаяся с символа pipe (|), интерпретировалась shell как команда, а не как имя файла.
Полезная нагрузка представляла собой SVG размером в один пиксель, чья ссылка на изображение выполняла команду на воркере и отправляла вывод через curl на внешний коллектор. По данным XBOW, на Linux-воркерах команды возвращали uid=0 и gid=0, а на Windows — systeminfo показывал Windows Server 2022 Datacenter, а whoami /all — привилегии SeImpersonatePrivilege и SeDebugPrivilege. XBOW заявляет, что выполняла только безопасные команды чтения и не обращалась к данным пользователей.
Важно отметить: детали эксплуатации и уровень привилегий описаны исследователями XBOW и не подтверждены независимо в бюллетенях Microsoft, которые фиксируют лишь критический уровень уязвимостей.
Контекст: делегаты ImageMagick как хроническая проблема
Описанный класс уязвимостей не нов. В 2016 году ImageTragick (CVE-2016-3714) продемонстрировал ту же проблему: делегаты ImageMagick позволяли внедрять команды через обработку изображений. Спустя десять лет паттерн повторяется — конвертеры изображений по-прежнему не воспринимаются как часть поверхности атаки.
Как отметил CISO XBOW Нико Вайсман: «Приложения относятся к обработчикам изображений как к водопроводу. Атакующие относятся к ним как к парсерам». Официальная документация ImageMagick по безопасности прямо указывает, что политика по умолчанию является открытой и предназначена для изолированных или защищённых средой окружений, а не для публичных сервисов, обрабатывающих недоверенные файлы.
Оценка воздействия
Хотя конкретно для Bing проблема устранена, описанный паттерн актуален для любой организации, чей конвейер обработки изображений принимает пользовательские файлы или загружает изображения по внешним URL. Наибольшему риску подвержены:
- Веб-приложения с функцией загрузки и конвертации изображений
- Сервисы обратного поиска по изображениям и краулеры
- Системы генерации превью и миниатюр на стороне сервера
- Любые конвейеры, использующие ImageMagick или совместимые библиотеки с включёнными делегатами
Конвейер Bing демонстрировал три критических нарушения одновременно: обработчик недоверенных файлов имел доступ к shell, работал с максимальными привилегиями и имел исходящий доступ в интернет. Комбинация этих факторов превратила слепую уязвимость в полноценное удалённое выполнение кода с подтверждением.
Практические рекомендации
Для организаций, использующих ImageMagick или совместимые библиотеки для обработки недоверенных изображений:
- Отключите делегаты в
policy.xml:<policy domain="delegate" rights="none" pattern="*" /> - Ограничьте принимаемые форматы. SVG, MVG и EPS способны содержать ссылки и вызовы интерпретаторов — исключите их, если они не критичны для бизнес-логики.
- Проверьте
delegates.xmlи отключите все делегаты, которые не используются. - Запускайте конвертацию в песочнице с минимальными привилегиями — не от root и не от SYSTEM.
- Заблокируйте исходящий сетевой доступ с воркеров обработки изображений. Именно исходящее соединение превращает слепую уязвимость в подтверждённую эксплуатацию.
- Ограничьте серверные загрузки белым списком допустимых адресов, исключив внутренние сети.
Для проверки фактически загруженных политик используйте команду magick identify -list policy.
Случай с Bing — практическая демонстрация того, что конвертер изображений, работающий с привилегиями, доступом к shell и выходом в интернет, является полноценным вектором удалённого выполнения кода. Если ваш конвейер обработки изображений принимает недоверенный контент — проверьте конфигурацию делегатов ImageMagick и сетевую изоляцию воркеров сегодня, не дожидаясь повторения сценария ImageTragick в вашей инфраструктуре.
