Microsoft Visual Studio Code: Umgehung einer Sicherheitsfunktion durch fehlende Autorisierung

Zusammenfassung

Eine fehlende Autorisierung in Microsoft Visual Studio Code erlaubt einem lokalen, nicht authentifizierten Angreifer, eine Sicherheitsfunktion zu umgehen. Welche Funktion betroffen ist, geht aus den geprüften Quellen nicht hervor. Für die Ausnutzung ist lokaler Zugriff und eine Interaktion des Benutzers (UI:R) nötig, weshalb die Schwachstelle nicht direkt aus dem Internet erreichbar ist. Der CVSS-3.1-Basiswert beträgt 7.8 (Hoch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Microsoft Visual Studio Code ab 1.0.0 bis vor 1.141.1 (gemäss CNA-Daten; auf MSRC zu bestätigen)

Behoben in

• Microsoft Visual Studio Code 1.141.1 oder neuer (gemäss Drittanbieter-Trackern; auf MSRC zu bestätigen)

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Endgeräte mit installiertem Visual Studio Code identifizieren, einschliesslich portabler oder fixierter Kopien.
• Auf Version 1.141.1 oder neuer aktualisieren und prüfen, ob die automatische Aktualisierung funktioniert.
• Entwickler-Arbeitsstationen priorisieren, auf denen Zugangsdaten, Schlüssel und Quellcode vorhanden sein können.
• Vor dem Schliessen des Tickets im MSRC-Advisory bestätigen, dass CVE-2026-70098 keine separate Kennung für denselben Fix ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-102233 msrc.microsoft.com
• Vulners NVD record CVE-2026-102233 vulners.com
• Tenable Nessus plugin 366207 www.tenable.com
• CyStack VS Code vulnerability database cystack.net
• Strix CVE-2026-102233 (CVSS and version range) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 05:11.