画像検索機能は、あらゆる大手インターネットサービスにおいて最もありふれた機能の一つです。それゆえに、ログインフォームや決済システムほど厳格にセキュリティ検証されることはほとんどありません。この見落としが高くつく結果となりました。XBOWの脆弱性研究者たちは、一見ごく普通のファイルをBingに送信するだけで、システム管理者権限を持ってMicrosoftのサーバーを完全に掌握することに成功したのです。
画像処理パイプラインに潜む重大な欠陥
XBOWの専門家らは、Bingの画像処理インフラに2件の重大な欠陥を発見しました。特別に細工したSVGファイルを利用することで、彼らは本番サーバー上で任意のコマンドを実行し、WindowsマシンではNT AUTHORITY\SYSTEM権限を、同一ネットワーク内の隣接するLinuxマシンではroot権限を取得しました。異なるサーバーやネットワーク範囲にまたがって厳密なテストを実施した結果、この脆弱性は一台の不具合マシンに限った話ではなく、Bingの画像処理パイプライン全体に及んでいることが判明しました。
悪意あるSVGによる悪用の仕組み
根本原因は画像のピクセルデータそのものではなく、SVGというフォーマットにありました。SVGは本質的にXMLマークアップで構成されており、外部ファイルへの参照を含めることができます。Bingがサポート対象外のフォーマットの処理を委ねていた変換プログラムは、コマンドシェル経由で外部の補助ユーティリティを呼び出していました。垂直パイプ文字（「|」）で始まる画像参照は、ファイル名としてではなく、実行すべきコマンドとして解釈されてしまうのです。その結果、たった1ピクセルのSVGファイル一つで、サーバーにコマンドを実行させ、その出力を密かに攻撃者のサーバーへ送信させることが可能になりました。
この攻撃は、単一の処理メカニズム内にある2つの異なる経路を突破することに成功しました。1つ目の経路は、逆画像検索機能を通じた通常の画像アップロードで、悪意あるファイルはエンコードされた形式で送信されました。2つ目の経路は画像URLによる検索で、攻撃者はインターネット上のどこかにファイルをホストし、そのアドレスを提示するだけで、Bingのウェブクローラーが自動的にダウンロードして処理してしまいます。いずれの手法も、認証やCookieの操作、被害者側の操作は一切必要としませんでした。
ひそかなパッチ適用と深刻度の高いCVSSスコア
Microsoftはこれらの脆弱性にCVE-2026-32194およびCVE-2026-32191という識別子を割り当て、CVSSスケールでほぼ最大値に近い9.8という深刻度スコアを付与しました。同社は正式発表に先立ち、3月にサーバー側で両方の問題をひそかに解消しており、その結果Bingユーザー側で対応すべき措置は特にありません。
パッチ適用前にこれらの脆弱性が悪用されたり、公に情報が漏洩したりした形跡を示す証拠は見つかっていません。XBOWは、Microsoftが両方の欠陥を完全に塞ぎ切るのを辛抱強く待ったうえで、7月23日に攻撃メカニズムの詳細を公開しました。
業界への影響とベストプラクティス
この種のエラーは決して目新しいものではありません。2016年にはImageMagickユーティリティにおいて、これと驚くほど酷似した欠陥が発見されています。この問題が繰り返し表面化するのは、ウェブサイトの管理者が補助的な画像処理ユーティリティを自社のリスク境界に含まれる構成要素として認識できていないことが多いためです。
ユーザーがアップロードしたファイルを処理するために多様なツールを利用している開発者は、セキュリティポリシー設定において外部の補助プログラムへのアクセスを完全に禁止することを強く推奨します。さらに、受け入れるフォーマットの種類を制限し、特に埋め込み参照やインタープリタを内包するSVGなどのフォーマットは基本的に排除すべきです。加えて、使用していないモジュールを監査して無効化すること、画像変換を厳格に隔離された最小権限の環境内で実行すること、そして処理サーバーがインターネットへ直接アクセスできないようブロックすることも不可欠です。
翻訳元: https://meterpreter.org/bing-svg-rce-vulnerabilities/
