كتب: صهيب شمس
تمكنت ثغرات في خدمة بحث الصور التابعة لبينج من تشغيل أوامر كـ NT AUTHORITY\SYSTEM على خوادم معالجة الصور الإنتاجية لمايكروسوفت، وكذلك كـ root على الأجهزة العاملة بنظام لينكس. وقد أظهرت اختبارات أجرتها شركة XBOW أن المشكلة تكمن في مستوى الصور الخاص ببينج وليس في جهاز واحد فقط.
أصدرت مايكروسوفت ثغرتين أمنيتين حرجتين تحت الأرقام CVE-2026-32194 وCVE-2026-32191، وتم تقييم كل منهما بمعدل 9.8 على مقياس CVSS. وقد اكتشفت شركة XBOW، وهي شركة ناشئة متخصصة في الأمن السيبراني، الثغرتين وقامت بالإبلاغ عنهما بشكل سري.
بخصوص مستخدمي بينج، لا توجد أي تحديثات أو تدابير احترازية متاحة لهم، ذلك أن مايكروسوفت قامت بإصلاح الثغرتين على مستوى الخوادم قبل إصدار الإعلانات الرسمية في شهر مارس، ولم يتم تسجيل أي عمل يحتاجه العملاء لحل المشكلة. كما لم يسجل أي استغلال أو إبلاغ عام عند نشر الإشعارات في 19 مارس.
نشرت شركة XBOW آلية الاستغلال في 23 يوليو، بعد أن أرجأت نشرها بناءً على طلب مايكروسوفت حتى تمت معالجة الثغرات. ما يظل بعد الإصلاح هو طبيعة الثغرة نفسها، حيث اعتقدت التطبيق أنه يتعامل مع صورة، بينما قرأ المساعد أسفل الصورة كأمر. فإذا كانت لديك أنظمة قادرة على أن تقترن بمحتويات غير موثوق بها من خلال ImageMagick أو أي برنامج متوافق مع وجوده، فإن المخاطر تتوقف على إمكانية تمرير المحتويات المراقبة إلى مسار قد يتم تمكينه.
تقوم خدمة البحث العكسي عن الصور في بينج بجلب عنوان URL لصورة من الخلفية، وهذا بحد ذاته يعتبر SSRF أعمى، حيث لا يعود شيء إلى العميل. وقد كشفت الأخطاء التي رُدت على المتصفح من بعض العمال عن 500، مما يوضح أن شيئًا ما في الأسفل هو الذي يقوم بالتحليل.
تعتبر SVG نوعًا من XML، لا تتضمن فقط الصور، بل يمكن أن تشير إلى صور أخرى. إذا كان هناك أداة لتحويل تنسيقات الصور لم تتم معالجتها بنفسها، يتم تمريرها إلى برنامج خارجي يتم استدعاؤه من خلال الشل. ومع ذلك، في المسار الذي وصلت إليه XBOW، كانت تلك الطبقة لا تزال فعالة، مما سمح بالإشارة إلى صورة تبدأ بحرف أنبوب مما أرسل الأوامر بدلاً من قراءة اسم ملف.
كانت الشحنة عبارة عن SVG بكسل واحد، حيث قام مرجعها بتشغيل أمر على العامل وجلب مخرجاته إلى جامع تتحكم فيه XBOW. وهذا ما أدى إلى وجود مسارين داخل نفس طبقة التحويل وثغرتين أمنيتين.
ظهر أن العمال في نظام التشغيل لينكس عادوا بالرمز uid=0 وgid=0. بينما أظهرت أنظمة ويندوز معلومات النظام بأن الخادم هو Windows Server 2022 Datacenter، حيث كانت المعلومات تشير إلى وجود Privilege وتمكين تنفيذ الأوامر داخل مكونات معالجة الصور المتعددة لبينج.
صرحت الشركة بأنها لم تشغل سوى أوامر بسيطة للقراءة ولم تمس أي بيانات للعملاء. استغرقت عملية تحديد المسار الصحيح العديد من الاختبارات التجريبية. جاء ردود صورة ImageMagick بشكل مختلف حسب المبرمج، بينما فشلت بعض الرموز.
علاوة على ذلك، أوضحت إرشادات ImageMagick أن السياسة الافتراضية مفتوحة ومخصصة للاستخدام في بيئات محمية وليس لمواقع عامة. لذا، لأي عملية تتعلق بصور غير موثوق بها، يجب حظر المساعدين بشكل صارم عبر policy.xml.
ثم تأتي مرحلة اختبار النظام بعد أي تغيير على السياسة. يتعين أيضًا ملاحظة آلية التحديد التي تطبع ما يتم تحميله. تم تسجيل الثغرات على أنها مشكلة من نفس الفئة، وقد تم ظهورها مجددًا لأن أحدًا لا يعتبر المحول جزءًا من سطح الهجوم.
أشار Nico Waisman، كبير مسؤولي الأمن في XBOW، إلى أن التطبيقات تعالج مواد الصور كأنها أنابيب، بينما يعاملها المهاجمون كتحليلات.
يمكنك قراءة المزيد في المصدر.
لمزيد من التفاصيل اضغط هنا.