ثغرات Bing Images: تنفيذ أوامر بنظام SYSTEM على خوادم مايكروسوفت عبر SVGs

مقدمة تحليلية

في 23 يوليو 2026، كشفت شركة XBOW لأمن المعلومات الهجومي المستقلة عن ثغرتين حرجتين في خدمة صور Bing من مايكروسوفت. سمحت هذه الثغرات، المصنفة بـ CVE-2026-32194 و CVE-2026-32191، بتنفيذ أوامر عشوائية بصلاحيات `NT AUTHORITY\SYSTEM` على خوادم مايكروسوفت العاملة بنظام ويندوز، وبصلاحيات الجذر (root) على الأنظمة العاملة بلينكس ضمن نفس بيئة المعالجة. تم تقييم كلتا الثغرتين بـ 9.8 نقطة على مقياس CVSS، مما يؤكد خطورتهما القصوى. أجرت مايكروسوفت إصلاحات على جانب الخادم في مارس 2026، قبل إصدار الإشعارات الأمنية، مشيرة إلى عدم الحاجة لإجراءات من جانب المستخدمين. نشرت XBOW تفاصيل الاستغلال بعد استيفاء طلب مايكروسوفت بتأخير الكشف حتى اكتمال الإصلاح، لكن سجلات مايكروسوفت في 24 يوليو 2026 كانت لا تزال تشير إلى عدم وجود كشف علني أو استغلال معروف.

التحليل التقني

يكمن جوهر الخلل في سوء فهم التطبيق لطبيعة الملفات المدخلة. اعتقدت خدمة Bing Images أنها تتعامل مع صورة اعتيادية، بينما قام المعالج المساعد الأساسي بتفسير جزء من تلك "الصورة" كأمر قابل للتنفيذ. أثبتت اختبارات XBOW تكرار النتائج عبر خوادم ونطاقات شبكة مختلفة، مما يشير إلى أن المشكلة متأصلة في طبقة معالجة الصور بـ Bing، وليست معزولة بجهاز واحد. كانت الثغرات كالتالي:

• CVE-2026-32194: مصنفة كـ command injection ضمن CWE-77. تتعلق بمسار تحميل الصور العام "Search by Image"، حيث يتم إرسال SVG بتنسيق base64 عبر حقل `imageBin` إلى `/images/kblob`.
• CVE-2026-32191: مصنفة كـ OS command injection ضمن CWE-78. تتعلق بمسار الزاحف، حيث يمكن استضافة ملف SVG في أي مكان، ويتم تمرير عنوان URL الخاص به إلى محرك البحث عبر معامل `imgurl`، ليقوم `bingbot/2.0` بجلبها إلى نفس مسار المعالجة.

لم تتطلب أي من الثغرتين مصادقة، أو ملفات تعريف ارتباط، أو حالة جلسة، أو نقرة من المستخدم للاستغلال. تعتمد بنية الاستغلال على حقيقة أن SVG هو تنسيق XML وليس مجرد بكسلات، مما يسمح له بالإشارة إلى صور أخرى. عند جلب Bing Image Search لعنوان URL للصورة من الواجهة الخلفية، وهو ما تفعله الميزة بطبيعتها، يحدث SSRF (Server-Side Request Forgery) أعمى. كان المؤشر الوحيد على وجود مشكلة هو إرجاع بعض الخوادم خطأ 500 للمتصفح، بينما استمرت في جلب المحتوى وتفسيره، مما دل على وجود عملية تحليل لاحقة. تقوم مجموعات التحويل، مثل ImageMagick أو المتوافقة معها، بتسليم التنسيقات التي لا تعالجها مباشرة إلى "مفوض" (delegate)، وهو برنامج خارجي يتم استدعاؤه عبر سطر الأوامر (shell). في المسار الذي وصلت إليه XBOW، كانت هذه الطبقة لا تزال مفعلة. وبالتالي، فإن مرجع صورة يبدأ بحرف الأنبوب `|` (pipe character) كان يتم تمريره إلى سطر الأوامر بدلاً من قراءته كاسم ملف. كان الحمولة عبارة عن SVG من بكسل واحد فقط، حيث كان مرجع الصورة فيه يقوم بتشغيل أمر على الخادم العامل ويعيد الإخراج إلى جهاز تجميع تتحكم فيه XBOW. لإثبات الاختراق، كان لا بد من الحصول على الإخراج خارج النطاق، حيث أن الواجهة الأمامية قد تعيد خطأ بينما يستمر الخادم في تنفيذ الأمر. أظهرت الخوادم العاملة بنظام لينكس `uid=0` و `gid=0`، بينما على ويندوز، عرض أمر `systeminfo` `Windows Server 2022 Datacenter`، وأظهر `whoami /all` تمكين `SeImpersonatePrivilege` و `SeDebugPrivilege`، مما وضع التنفيذ داخل مكونات معالجة صور الوسائط المتعددة الخاصة بـ Bing. أكدت XBOW أنها نفذت أوامر قراءة فقط غير ضارة ولم تلمس بيانات العملاء. لقد تطلّب تضييق نطاق الثغرة إلى هذا المسار عشرات من عمليات الفحص. تفاعلت بروتوكولات ImageMagick الزائفة بشكل مختلف حسب المرمّز: `label:` عرض نصًا و `xc:` أنتج صورة ملونة، بينما فشلت قراءات الملفات المباشرة و `text:` و `caption:`. لم يتم تنفيذ الأحرف الوصفية لسطر الأوامر داخل `label:` بل تم عرضها كنص، مما استبعد هذا المرمّز. المسار الذي وصل إلى المفوض كان مرجع الصورة داخل SVG نفسه. تقدم توجيهات ImageMagick الصريحة سياسات أمنية لمعالجة هذه الثغرات، مؤكدة أن الإعداد الافتراضي مصمم لبيئات معزولة وليس للمواقع العامة. تتضمن التدابير الوقائية الأساسية:

• تعطيل "المفوضات" (delegates) بشكل كامل في ملف `policy.xml` باستخدام `<policy domain="delegate" rights="none" pattern="*" />`.
• تقليل تنسيقات الملفات المقبولة، مع الأخذ في الاعتبار أن SVG و MVG و EPS تحمل مراجع ومفسرات.
• مراجعة ملف `delegates.xml` وتعطيل أي وظائف غير ضرورية.
• تشغيل عمليات التحويل في بيئات معزولة (sandboxed) وبامتيازات مخفضة.
• حظر الوصول الصادر للشبكة من الخادم العامل، وهو ما كان ضروريًا لتحويل الخطأ الأعمى إلى إثبات اختراق.
• السماح فقط بقوائم بيضاء للوجهات التي يمكن لعمليات الجلب من جانب الخادم الوصول إليها، والحفاظ على الخادم العامل بعيدًا عن العناوين الداخلية.

توصي ImageMagick باختبار أي تغييرات في السياسة، ويمكن التحقق من السياسات المحملة باستخدام `magick identify -list policy`. هذه الفئة من الفشل ليست جديدة، فقد ظهرت ثغرة ImageTragick عام 2016 (CVE-2016-3714) التي كانت تعتمد على حقن الأوامر عبر المفوضات. يوضح نيكو ويزمان، كبير مسؤولي أمن المعلومات في XBOW، الوضع بقوله: "التطبيقات تتعامل مع مساعدي الصور كسباكة. المهاجمون يتعاملون معهم كمحللات." كان الجلب متاحًا، ولم يُرجع شيئًا، وبدا وكأنه طريق مسدود. ما حوله إلى shell بصلاحيات SYSTEM هو المحلل الذي كان وراءه، ولم يكن في الاستجابة ما يشير إلى ذلك.

السياق وتأثير السوق

تضع هذه الثغرات مايكروسوفت في موقف حرج، على الرغم من سرعة إصلاحها. إن حقيقة إمكانية تنفيذ أوامر بصلاحيات SYSTEM أو الجذر على خوادم الإنتاج تشير إلى إخفاق هيكلي في التصميم الأمني لمكونات معالجة الصور. لم تكن هذه مجرد ثغرة معزولة، بل تكرار لفئة من المشاكل التي ظهرت سابقًا مع ImageTragick في عام 2016. هذا يشير إلى أن العديد من التطبيقات لا تزال تتعامل مع مكتبات معالجة الصور كأدوات "سباكة" بسيطة، بدلاً من مكونات حرجة ضمن سطح الهجوم الكلي. وفقًا لتوجيهات ImageMagick الصريحة، فإن السياسة الافتراضية مفتوحة ومصممة للاستخدام في بيئات معزولة (sandboxed) أو خلف جدار ناري، وليس في مواقع ويب عامة. هذا التغافل عن مبادئ الأمان الأساسية في بيئة إنتاجية بهذا الحجم يثير تساؤلات حول آليات التدقيق الأمني الداخلية. على الرغم من أن مايكروسوفت قامت بالإصلاح من جانب الخادم دون الحاجة لتدخل المستخدم، فإن العيب الجوهري في الطريقة التي تُعالَج بها الملفات غير الموثوق بها عبر المفوضات يبقى مشكلة أوسع نطاقًا في صناعة تطوير الويب والخدمات السحابية. بالنسبة للمنافسين، مثل جوجل، فإن هذا الحادث يفرض مراجعة دقيقة لبنيتهم التحتية لمعالجة الصور، خاصة تلك التي تعتمد على مكتبات طرف ثالث مثل ImageMagick. إن الطبيعة "العمياء" للثغرة، حيث تعود الواجهة الأمامية بخطأ بينما يتم تنفيذ الهجوم في الخلفية، تجعل اكتشاف مثل هذه الاختراقات أصعب بكثير على فرق الأمن، مما يزيد من فترة بقاء التهديد المحتملة في الأنظمة التي لا تطبق تدابير حماية قوية. كما أن الثغرة لم تتطلب أي مصادقة أو تفاعل من المستخدم، مما يجعلها قابلة للاستغلال على نطاق واسع.

رؤية Glitch4Techs

يثبت هذا الحادث أن الشركات الكبرى، حتى مايكروسوفت، لا تزال تتجاهل مبادئ الأمن الأساسية في بيئاتها الإنتاجية. إن السماح لخادم معالجة صور، يعمل بصلاحيات SYSTEM أو root، بالوصول إلى shell وتنفيذ أوامر خارجية مع وجود مسار للشبكة الخارجية، هو إخفاق أمني أساسي ومتهور. هذه ليست ثغرة معقدة تتطلب تحليلًا متطورًا، بل هي نتاج مباشر لعدم تطبيق توجيهات أمنية معروفة وممارسات تقليل الامتيازات (least privilege) التي تجاوز عمرها عقدًا من الزمن. الحادث يؤكد أن الوعي الأمني يظل ضعيفًا في بعض الأقسام الهندسية، مما يجعلها عرضة لهجمات "المحللات" التي تظهر بشكل متكرر، وكأن درس ImageTragick لم يتم استيعابه بشكل كامل.