Microsoft Visual Studio Code: Path Traversal führt zu Informationsoffenlegung

Zusammenfassung

Eine Path-Traversal-Schwachstelle in Visual Studio Code erlaubt einem berechtigten Angreifer, über das Netzwerk Informationen auszulesen. Gemäss der Beschreibung des Herstellers wurden Pfade zu Webview-Ressourcen über das Netzwerk nicht konsistent normalisiert, bevor sie mit den erlaubten Ressourcenpfaden verglichen wurden. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten oder eine lokale Sitzung sowie eine Benutzerinteraktion, etwa das Öffnen manipulierter Inhalte, und die Auswirkung beschränkt sich auf die Vertraulichkeit (CVSS 3.1: 6.8, mittel).

Betroffen

• Microsoft Visual Studio Code 1.0.0 bis vor 1.141.1 (Bereich laut CNA)
• VulDB nennt bis 1.141.0; das Upstream-Issue nennt 1.141.0 und frühere Versionen

Behoben in

• Microsoft Visual Studio Code 1.141.1 und neuer (Fix-Commit b0240f4)

Umgehung

• Unbekannt. In den Quellen wurde kein Workaround beschrieben.
• Bis zur Installation des Updates den Einsatz untrusted Remote-Workspaces und Erweiterungen einschränken (allgemeine Empfehlung, nicht aus einer Quelle).

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
• EPSS etwa 1% (0,01056).
• Status im CISA-KEV-Katalog nicht geprüft.

Unsere Empfehlung

• Alle Installationen von Visual Studio Code auf 1.141.1 oder neuer aktualisieren, zuerst Entwickler-Arbeitsplätze und gemeinsam genutzte Entwicklungsumgebungen.
• Prüfen, ob Remote-Entwicklungsfunktionen genutzt werden, und untrusted Workspaces und Erweiterungen bis zum Patch einschränken.
• Die weiteren Microsoft-Schwachstellen vom Oktober 2026 im selben Update-Zyklus einspielen (CVE-2026-102238, CVE-2026-102231).
• Die endgültige Version und Expositionsdetails auf der MSRC- und der GitHub-Advisory-Seite verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory msrc.microsoft.com
• GitHub issue microsoft/vscode 341379 github.com
• VulDB entry 418043 vuldb.com
• Tenable plugin 366207 www.tenable.com
• Strix CVE record www.strix.ai
• Vulners NVD mirror vulners.com
• Vulners MSCVE mirror vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 22:12.