Microsoft Visual Studio Code: Sicherheitsfunktion umgehbar durch UI-Fehldarstellung
Zusammenfassung
Visual Studio Code in den Versionen 1.0.0 bis vor 1.145.3 enthält eine Fehldarstellung kritischer Informationen in der Benutzeroberfläche. Ein nicht autorisierter Angreifer aus dem Netzwerk kann diese nutzen, um eine Sicherheitsfunktion zu umgehen. Der Angriff erfordert eine Interaktion durch einen Benutzer. Die Recherchenotizen verknüpfen diese CVE mit einem GitHub-Issue zu bösartigen MCP-Installationslinks, diese Zuordnung ist jedoch nicht bestätigt.
Betroffen
- Microsoft Visual Studio Code 1.0.0 bis vor 1.145.3
Behoben in
- Visual Studio Code 1.145.3 oder neuer
Umgehung
- Für die CVE selbst unbekannt. Bis zur Aktualisierung keine nicht vertrauenswürdigen vscode:mcp/install-Links öffnen und die angezeigte Serverkonfiguration vor der Freigabe einer Installation prüfen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
- Laut Drittanbieter-Tracker nicht im KEV-Katalog gelistet.
Unsere Empfehlung
- Visual Studio Code auf allen Endgeräten oder über die zentrale Verwaltung auf 1.145.3 oder neuer aktualisieren.
- Die installierte Version auf Entwickler- und Büroarbeitsplätzen prüfen.
- Mitarbeitende schulen, unerwartete MCP-Installationslinks nicht zu bestätigen.
- MSRC-Advisory und NVD auf Aktualisierungen zur Analyse und Zuordnung überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-114171 msrc.microsoft.com
- CVE Record CVE-2026-114171 www.cve.org
- VS Code 1.145 release notes code.visualstudio.com
- GitHub issue microsoft/vscode #347430 (MCP install links) github.com
- VS Code MCP developer guide code.visualstudio.com
- Strix CVE-2026-114171 summary www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:42.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.