Đang tải bảng tin…
Latest Hacking News0 Hot0 bình luận5 phút đọc
How the Bing Images RCE Flaws Actually Worked, and How to Check Your Own Pipeline
Tóm tắt bởi AI
XBOW phát hiện hai lỗ hổng RCE trong Bing Images (CVE-2026-32194, CVE-2026-32191) do cơ chế delegate mặc định của ImageMagick, nơi một file SVG 3 dòng chứa ký tự pipe trong thuộc tính xlink:href kích hoạt thực thi lệnh hệ thống — đạt quyền SYSTEM trên máy chủ Windows của Bing. Lỗ hổng tương tự ImageTragick (2016) vẫn tồn tại trong nhiều pipeline tự lưu trữ. Biện pháp khắc phục bao gồm vô hiệu hóa SVG/MVG/EPS trong policy.xml, kiểm tra delegates.xml, sandboxing worker, chặn kết nối mạng đầu ra từ converter, và coi cả đường upload lẫn crawler fetch là không đáng tin cậy. WAF hay lọc kiểu file không thể phát hiện vì payload nằm trong XML của ảnh.
Vì sao nên đọc: Để tránh bị tấn công từ lỗ hổng RCE trong pipeline tự quản lý của mình, như trong vụ tấn công Bing Images, bạn nên đọc bài này để hiểu cách các lỗ hổng này hoạt động và áp dụng các biện pháp phòng ngừa hiệu quả từ các ví dụ thực tế.
Bạn nhớ được gì?
Trả lời 3 câu hỏi ngắn để nhận điểm thưởng cho bài này. Chỉ làm khi bạn muốn lấy điểm.
tối đa +17 điểm
3 câu hỏi · dưới một phút · không bắt buộc
Nguồn: https://latesthackingnews.com/2026/07/26/bing-images-rce-flaws-explained. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
