Посмотреть вложение 484
Специалисты XBOW нашли способ превратить обычную картинку в точку входа внутрь инфраструктуры Bing. Вредоносный SVG позволял запускать команды на рабочих серверах Microsoft с максимальными правами: SYSTEM в Windows и root в Linux.
Корень проблемы оказался в цепочке обработки изображений. Bing передавал нестандартные файлы внешней утилите, которая вызывала команды через оболочку без безопасной обработки входных данных. По сути, сервер принял часть имени файла за инструкцию к выполнению. Атаковать можно было даже через ссылку на картинку, которую поисковый робот загрузил бы самостоятельно.
Microsoft закрыла две дыры CVE-2026-32194 и CVE-2026-32191 до публикации деталей. История снова показывает старую проблему: конвертеры изображений часто остаются без должной защиты. Не запускайте такие сервисы с широкими правами и убирайте опасные форматы из цепочки обработки.
Специалисты XBOW нашли способ превратить обычную картинку в точку входа внутрь инфраструктуры Bing. Вредоносный SVG позволял запускать команды на рабочих серверах Microsoft с максимальными правами: SYSTEM в Windows и root в Linux.
Корень проблемы оказался в цепочке обработки изображений. Bing передавал нестандартные файлы внешней утилите, которая вызывала команды через оболочку без безопасной обработки входных данных. По сути, сервер принял часть имени файла за инструкцию к выполнению. Атаковать можно было даже через ссылку на картинку, которую поисковый робот загрузил бы самостоятельно.
Microsoft закрыла две дыры CVE-2026-32194 и CVE-2026-32191 до публикации деталей. История снова показывает старую проблему: конвертеры изображений часто остаются без должной защиты. Не запускайте такие сервисы с широкими правами и убирайте опасные форматы из цепочки обработки.