Microsoft Visual Studio Code: Rechteerweiterung durch fehlende Authentifizierung
Zusammenfassung
Eine fehlende Authentifizierung für eine kritische Funktion in Visual Studio Code erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein lokales Konto oder einen Zugriffspunkt auf dem System, und es ist keine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems beeinträchtigen.
Betroffen
- Microsoft Visual Studio Code ab 1.0.0 vor 1.145.3
- Plattformen und Komponenten: Unbekannt.
Behoben in
- Visual Studio Code 1.145.3 oder neuer
Umgehung
- Unbekannt. Kein CVE-spezifischer Workaround gefunden. Update einspielen.
Ausnutzung
- Ausnutzung in freier Wildbahn: Keine Hinweise gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
- Öffentlicher Proof-of-Concept: Keiner gefunden (Suche nicht abschliessend).
- CISA KEV: Laut einem Tracker nicht gelistet.
Unsere Empfehlung
- Visual Studio Code auf Version 1.145.3 oder neuer aktualisieren und die installierte Version prüfen, statt sich auf die automatische Aktualisierung zu verlassen.
- Entwickler-Endgeräte sowie gemeinsam genutzte oder entfernte Entwicklungssysteme priorisieren (Remote-Agent-Hosts, Dev Containers, SSH-Workspaces).
- Lokale Konten und administrative Rechte auf diesen Systemen einschränken.
- Vollständiges MSRC-Advisory und NVD-Analyse auf Aktualisierungen prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-119981 www.cve.org
- Microsoft Security Update Guide CVE-2026-119981 msrc.microsoft.com
- Visual Studio Code 1.145 release notes code.visualstudio.com
- Strix CVE-2026-119981 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.