Fallo crítico en Bing permitió ejecución remota de comandos

Microsoft solucionó dos vulnerabilidades críticas en la infraestructura de Bing Search que podían permitir la ejecución remota de comandos (RCE) en sus servidores de procesamiento de imágenes. Los fallos, identificados como CVE-2026-32194 y CVE-2026-32191, recibieron una puntuación CVSS de 9,8, reflejando el elevado nivel de riesgo que representaban para la plataforma.

Las vulnerabilidades fueron descubiertas por XBOW, una startup especializada en seguridad ofensiva autónoma, que notificó los hallazgos de forma privada a Microsoft. Tras completar el proceso de remediación en los sistemas del lado del servidor, la compañía publicó los avisos de seguridad en marzo de 2026 y, meses después, XBOW reveló los detalles técnicos del ataque, una vez que Microsoft confirmó que el problema había sido completamente corregido.

Aunque los usuarios finales no tuvieron que aplicar ninguna actualización, el incidente vuelve a poner el foco sobre un viejo problema de seguridad: los riesgos asociados al procesamiento de archivos SVG mediante herramientas como ImageMagick y el uso inseguro de programas auxiliares o delegates.

Cómo funcionaba la vulnerabilidad en Bing Search

La funcionalidad de búsqueda inversa de imágenes de Bing permite que un usuario envíe una imagen o una URL para identificar contenido similar en Internet. Detrás de este proceso existe una infraestructura capaz de descargar imágenes desde servidores externos y analizarlas automáticamente.

Durante sus pruebas, los investigadores de XBOW descubrieron que algunos servidores devolvían un error HTTP 500 al navegador, aunque internamente continuaban descargando y procesando la imagen enviada. Este comportamiento evidenciaba que el procesamiento seguía ejecutándose en segundo plano, incluso cuando la solicitud parecía haber fallado.

El elemento clave del ataque era el formato SVG (Scalable Vector Graphics).

A diferencia de formatos tradicionales como JPEG o PNG, un archivo SVG no contiene únicamente información gráfica, sino que está basado en XML, permitiendo incluir referencias externas, objetos incrustados y otros elementos interpretables por distintos motores de renderizado.

Precisamente esta característica fue la que permitió convertir una simple imagen en un vector de ataque.

ImageMagick y los "delegates": el verdadero origen del problema

Según explicó XBOW, la canalización de procesamiento de Bing utilizaba componentes compatibles con ImageMagick, una de las bibliotecas de manipulación de imágenes más utilizadas del mundo.

Cuando ImageMagick encuentra formatos que no procesa directamente, puede recurrir a programas externos conocidos como delegates. Estos componentes son invocados mediante comandos del sistema operativo para realizar determinadas conversiones.

El problema apareció porque uno de estos delegados permanecía habilitado.

Los investigadores descubrieron que era posible crear un archivo SVG cuya referencia a una imagen comenzara con el carácter de tubería (|). En lugar de interpretar esa referencia como el nombre de un archivo, el sistema la enviaba al shell del sistema operativo para su ejecución.

Como resultado, el servidor ejecutaba comandos arbitrarios enviados por el atacante.

XBOW desarrolló un SVG de apenas un píxel cuya única finalidad era ejecutar comandos en el servidor y enviar posteriormente la salida hacia un servidor controlado por los investigadores.

Dos vulnerabilidades críticas con impacto diferente

El análisis permitió identificar dos vectores de ataque independientes que conducían al mismo motor de procesamiento de imágenes.

CVE-2026-32194

Esta vulnerabilidad corresponde a la función pública Buscar por Imagen de Bing.

El atacante únicamente necesitaba cargar un archivo SVG especialmente diseñado mediante el campo utilizado para subir imágenes. El procesamiento interno terminaba ejecutando comandos arbitrarios en el servidor.

La vulnerabilidad fue clasificada bajo CWE-77 (Command Injection).

CVE-2026-32191

El segundo fallo afectaba al rastreador utilizado por Bing.

En este caso, el atacante alojaba el archivo SVG en cualquier servidor accesible desde Internet y simplemente proporcionaba su URL mediante el parámetro correspondiente.

Cuando Bing descargaba el recurso para analizarlo, el mismo flujo vulnerable terminaba ejecutando los comandos.

Esta variante fue registrada como CWE-78 (OS Command Injection).

Lo más preocupante es que ninguno de los dos ataques requería:

• Autenticación.
• Cookies.
• Sesiones activas.
• Interacción del usuario.
• Privilegios previos.

Los comandos se ejecutaban con privilegios extremadamente elevados

Para confirmar el impacto real, XBOW realizó únicamente comandos de lectura que no modificaban información ni accedían a datos de clientes.

Sin embargo, los resultados fueron especialmente llamativos.

En los trabajadores Linux utilizados por Microsoft, los comandos devolvían:

• uid=0
• gid=0

Es decir, el código se ejecutaba con privilegios de root.

En servidores Windows Server 2022 Datacenter, las pruebas mostraban cuentas con privilegios elevados, incluyendo permisos como:

• SeImpersonatePrivilege
• SeDebugPrivilege

Además, fue posible listar directorios pertenecientes a componentes internos del sistema de procesamiento multimedia de Bing.

Microsoft indicó posteriormente que no existían evidencias de explotación activa y confirmó que las pruebas realizadas por XBOW únicamente ejecutaron comandos benignos de solo lectura.

Una variante moderna del histórico ImageTragick

Aunque el descubrimiento resulta sorprendente, el tipo de vulnerabilidad no es completamente nuevo.

En 2016 se hizo pública la conocida vulnerabilidad ImageTragick (CVE-2016-3714), que explotaba precisamente el uso inseguro de ImageMagick y sus delegados para ejecutar comandos del sistema.

Diez años después, el mismo patrón vuelve a aparecer.

CitarSegún explicó Nico Waisman, CISO de XBOW:

"Las aplicaciones tratan los ayudantes de imagen como fontanería. Los atacantes los tratan como analizadores."

La reflexión resume perfectamente el problema: muchos desarrolladores consideran que los conversores de imágenes son simples componentes auxiliares cuando, en realidad, constituyen una parte crítica de la superficie de ataque.

Cómo prevenir este tipo de ataques

El informe también incluye una serie de recomendaciones que cualquier organización debería aplicar si procesa imágenes procedentes de usuarios o de Internet.

Entre las medidas más importantes destacan:

Deshabilitar completamente los delegates de ImageMagick mediante la política:

<policy domain="delegate" rights="none" pattern="*" />

• Limitar los formatos aceptados eliminando aquellos capaces de incluir referencias externas, como:
• SVG
• MVG
• EPS
• Revisar cuidadosamente el archivo delegates.xml para eliminar funcionalidades innecesarias.
• Ejecutar los procesos de conversión dentro de entornos sandbox, con privilegios mínimos y cuentas sin acceso administrativo.
• Bloquear completamente la conectividad saliente de los servidores encargados del procesamiento de imágenes.
• Restringir mediante listas blancas las direcciones desde las que los trabajadores pueden descargar contenido, evitando el acceso a recursos internos o direcciones privadas.

Finalmente, ImageMagick recomienda verificar siempre la configuración activa mediante el comando:

magick identify -list policy

Un recordatorio de que las imágenes también pueden ser un vector de ataque

Las vulnerabilidades CVE-2026-32194 y CVE-2026-32191 demuestran que incluso funciones aparentemente inocuas, como una búsqueda inversa de imágenes, pueden convertirse en un punto crítico de compromiso cuando intervienen analizadores complejos y componentes externos.

En este caso, Microsoft logró corregir ambos fallos antes de que existiera evidencia de explotación pública y confirmó que la mitigación fue aplicada íntegramente en sus servidores, por lo que los usuarios de Bing no necesitan realizar ninguna acción.

No obstante, el caso deja una importante lección para toda la industria: cualquier aplicación que procese contenido no confiable mediante ImageMagick u otras herramientas similares debe considerar estos conversores como parte integral de su superficie de ataque. Implementar políticas restrictivas, eliminar funcionalidades innecesarias y aislar los procesos de conversión son medidas esenciales para evitar que una simple imagen SVG se convierta en una puerta de entrada hacia la ejecución remota de comandos en sistemas críticos.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login