Kelemahan Bing Images: SVG Jahat Bisa Eksekusi Perintah SYSTEM di Server Microsoft

Bing Images mengalami celah keamanan serius yang memungkinkan file SVG yang dibuat khusus menjalankan perintah berbahaya dengan hak akses tertinggi SYSTEM pada server pengolah gambar Microsoft. Temuan ini diungkap oleh startup keamanan siber otonom XBOW, yang menemukan bahwa celah tersebut tidak hanya berlaku pada mesin Windows, tetapi juga pada mesin Linux dalam infrastruktur Bing.

Detail Kerentanan Bing Images dan Dampaknya

XBOW melaporkan bahwa SVG berbahaya yang dikirimkan ke fitur pencarian gambar Bing dapat memicu eksekusi perintah secara langsung di server produksi, dengan hak NT AUTHORITY\SYSTEM di Windows dan root di Linux. Hal ini berarti peretas berpotensi menjalankan kode tingkat sistem dengan kontrol penuh.

Microsoft merespons dengan cepat dan mengeluarkan dua CVE kritis, yaitu CVE-2026-32194 dan CVE-2026-32191, yang keduanya memperoleh skor CVSS 9,8, menandakan risiko tinggi. Namun, perbaikan dilakukan secara server-side sebelum pengumuman resmi pada Maret 2026, sehingga pengguna Bing tidak perlu melakukan tindakan apapun.

"Tidak ada aksi pelanggan yang diperlukan untuk mengatasi masalah ini," demikian catatan dari Microsoft. XBOW baru mempublikasikan mekanisme eksploitasi pada Juli 2026 setelah memastikan perbaikan sudah diterapkan.

Cara Kerja Eksploitasi SVG Jahat

SVG (Scalable Vector Graphics) adalah format berbasis XML yang dapat memuat referensi gambar lain dan menggunakan renderer untuk mengambil gambar tersebut. Di Bing, proses ini menggunakan ImageMagick, sebuah perangkat lunak pengonversi gambar yang memanggil program eksternal (delegate) melalui shell.

Masalah muncul karena ImageMagick masih mengaktifkan fitur delegate, yang memungkinkan karakter pipe (|) di jalur referensi gambar dieksekusi sebagai perintah shell, bukan sebagai nama file biasa. Dengan memanfaatkan ini, penyerang dapat mengirimkan SVG satu piksel yang menjalankan perintah berbahaya secara diam-diam di server.

1. CVE-2026-32194: Injeksi perintah melalui upload gambar base64 pada parameter imageBin di endpoint /images/kblob.
2. CVE-2026-32191: Injeksi perintah via crawler, dengan meletakkan SVG di URL manapun dan memanggilnya menggunakan parameter imgurl. Bingbot kemudian mengambil dan memproses SVG tersebut.

Kedua metode ini tidak memerlukan autentikasi, cookie, atau interaksi pengguna, sehingga sangat berbahaya jika tidak segera ditangani.

Risiko dan Langkah Pencegahan

Menurut XBOW, server pengolah gambar seperti Bing seharusnya tidak memproses file dari sumber tidak tepercaya dengan akses shell atau koneksi keluar ke internet. ImageMagick sendiri menyarankan untuk melarang penggunaan delegate pada kebijakan keamanan untuk menghindari risiko ini.

• Matikan delegate di policy.xml dengan <policy domain="delegate" rights="none" pattern="*" />
• Batasi format file yang diterima, hindari SVG, MVG, EPS yang dapat memuat referensi eksternal
• Nonaktifkan delegate yang tidak diperlukan di delegates.xml
• Jalankan proses konversi dalam sandbox dengan hak terbatas
• Blokir akses jaringan keluar dari worker image processing
• Gunakan whitelist untuk URL yang boleh diakses oleh server side fetch

Langkah-langkah tersebut penting agar insiden serupa seperti ImageTragick (CVE-2016-3714) yang pernah terjadi di masa lalu tidak terulang kembali.

Analisis Redaksi

Menurut pandangan redaksi, kasus ini menegaskan betapa pentingnya pengawasan ketat terhadap seluruh komponen dalam pipeline pengolahan data, termasuk yang sering dianggap "plumbing" seperti helper image processing. Kesalahan konfigurasi pada ImageMagick yang seharusnya berjalan di lingkungan terisolasi menjadi celah besar yang bisa dieksploitasi untuk mendapatkan akses sistem penuh.

Lebih jauh, celah ini juga memperlihatkan risiko yang muncul ketika fitur seperti pengambilan gambar melalui URL eksternal (server-side fetch) diintegrasikan tanpa batasan ketat. Meskipun perbaikan sudah diterapkan, organisasi lain yang menggunakan ImageMagick secara langsung atau tidak langsung harus segera meninjau konfigurasi dan kebijakan keamanan mereka.

Ke depan, pengembangan keamanan aplikasi harus memasukkan evaluasi menyeluruh terhadap semua dependensi dan proses backend yang berinteraksi dengan konten dari sumber eksternal. Pembaca disarankan untuk tetap mengikuti pembaruan keamanan dan menerapkan prinsip zero trust pada setiap komponen sistem.

Untuk informasi lebih lengkap dan pembaruan seputar keamanan aplikasi, Anda dapat mengunjungi artikel asli di The Hacker News serta media terpercaya lain seperti Kompas.