Visual Studio Code: Informationsoffenlegung in GitHub-Pull-Requests-Erweiterung

Zusammenfassung

Die Erweiterung GitHub Pull Requests and Issues für Visual Studio Code enthält eine Schwachstelle, bei der die externe Steuerung von Dateinamen oder Pfaden (CWE-73) die Offenlegung von Informationen erlaubt. Ein nicht autorisierter Angreifer im Netzwerk kann Informationen abgreifen; laut der Auswirkungsbeschreibung von Microsoft können dies NetNTLMv2-Hashes sein, also Authentifizierungsmaterial in Windows-Netzwerken. Die Ausnutzung erfordert eine Benutzerinteraktion (UI:R), der Angreifer benötigt keine Berechtigungen.

Betroffen

• Visual Studio Code, Erweiterung GitHub Pull Requests and Issues: Versionen 1.0.0 bis unter 1.145.3 (gemäss CVE-Eintrag)

Behoben in

• Version 1.145.3 ist gemäss CVE-Eintrag die erste nicht betroffene Version; dies ist in der Produkttabelle von MSRC zu überprüfen.
• Die Korrektur wird über ein Sicherheitsupdate für Visual Studio Code bereitgestellt. Ob die Erweiterung separat aktualisiert werden kann, ist unbekannt.

Umgehung

Unbekannt.

• Falls das Update verzögert wird, die Erweiterung auf Systemen deaktivieren, auf denen sie nicht benötigt wird (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• Exploitability-Tabelle von Microsoft (via Rapid7): Exploitation Less Likely, nicht öffentlich bekannt.
• Der CVSS-Vektor enthält E:U (Exploit-Reife nicht nachgewiesen).
• Widersprüchliche Meldung: Der Bericht der Zero Day Initiative besagt, Microsoft markiere die Schwachstelle als ausgenutzt. Dies ist unbestätigt; bitte direkt bei MSRC prüfen.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Status im CISA-KEV-Katalog: nicht überprüft.

Unsere Empfehlung

• Visual Studio Code und die Erweiterung GitHub Pull Requests and Issues auf Version 1.145.3 oder neuer aktualisieren; Entwickler-Arbeitsplätze, die externe Pull Requests prüfen, zuerst.
• Den Ausnutzungsstatus und die korrigierte Version direkt bei MSRC prüfen.
• Falls das Update verzögert wird, die Erweiterung auf Geräten deaktivieren, auf denen sie nicht benötigt wird.
• Entwickler-Arbeitsplätze auf ungewöhnliche ausgehende Authentifizierungsversuche überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119976 msrc.microsoft.com
• CVE Record CVE-2026-119976 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
• Strix: CVE-2026-119976 (third-party aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:06.