Visual Studio Code: Umgehung einer Sicherheitsfunktion durch Path Equivalence

Zusammenfassung

In Visual Studio Code führt eine fehlerhafte Auflösung von Path Equivalence (CWE-41) zu einer Umgehung einer Sicherheitsfunktion, die lokal ausgenutzt werden kann. Laut einer Sekundärquelle betrifft die Umgehung Workspace Trust, wodurch nicht vertrauenswürdige Workspaces Code ohne Zustimmung ausführen könnten. Ein Angriff erfordert lokalen Zugriff, eine hohe Angriffskomplexität und eine Benutzerinteraktion, etwa wenn ein Entwickler ein manipuliertes oder nicht vertrauenswürdiges Repository öffnet.

Betroffen

• Microsoft Visual Studio Code 1.0.0 bis vor 1.141.1 (Daten des CNA)
• VulDB nennt den Bereich bis 1.141.0 (konsistent)

Behoben in

• Microsoft Visual Studio Code 1.141.1 oder neuer (laut Sekundärquelle; gegen das MSRC-Advisory prüfen)

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Als Vorsichtsmassnahme Workspace Trust aktiviert lassen und keine unbekannten Repositories oder Workspaces als vertrauenswürdig einstufen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• Nicht im Katalog CISA KEV gelistet.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no.
• EPSS etwa 0,4 Prozent (0,0038).

Unsere Empfehlung

• Alle Visual Studio Code-Installationen auf 1.141.1 oder neuer aktualisieren, nachdem die fixe Version im MSRC-Advisory bestätigt wurde.
• Sicherstellen, dass Workspace Trust auf allen Entwickler-Arbeitsstationen aktiviert ist.
• Entwickler anweisen, keine unbekannten Repositories oder Workspaces zu vertrauen, und bei extern geklontem oder geteiltem Code vorsichtig sein.
• Das Patchen ist mit geringem Aufwand verbunden; Entwickler-Arbeitsstationen haben Priorität.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-102231 msrc.microsoft.com
• Vulners: CVE List record CVE-2026-102231 vulners.com
• VulDB: CVE-2026-102231 vuldb.com
• Vulners: NVD record CVE-2026-102231 vulners.com
• Windowsforum: CVE-2026-102231 write-up windowsforum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 08:40.