Visual Studio Code: Umgehung einer Sicherheitsfunktion durch falsche Berechtigungsprüfung
Zusammenfassung
Eine Umgehung einer Sicherheitsfunktion in Microsoft Visual Studio Code, verursacht durch eine falsche Berechtigungsprüfung (CWE-863), betrifft Versionen ab 1.0.0 bis vor 1.145.3. Ein nicht autorisierter Angreifer im Netzwerk kann eine Sicherheitsfunktion umgehen, was nur die Integrität betrifft; Vertraulichkeit und Verfügbarkeit sind laut CVSS-Vektor nicht betroffen. Für die Ausnutzung ist eine Aktion des Benutzers erforderlich, und die genau umgangene Funktion ist in den geprüften Quellen nicht offengelegt.
Betroffen
- Microsoft Visual Studio Code ab 1.0.0 bis vor 1.145.3 (gemäss CVE-Eintrag, CNA Microsoft)
Behoben in
- Microsoft Visual Studio Code 1.145.3 oder neuer (gemäss Versionshinweisen von Microsoft)
- Konkreter Fix-Commit oder Issue für diese CVE: Unbekannt.
Umgehung
- Für diese CVE ist keine Workaround- oder Schutzmassnahme veröffentlicht.
- Unternehmen können verwaltete Einstellungen nutzen, die das Umgehen der Sandbox untersagen; dies ist eine allgemeine Härtungsmassnahme und keine bestätigte Massnahme für diese CVE.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und die öffentliche Bekanntgabe als Nein.
- Widersprüchliche Quelle: ZDI berichtet, dass Microsoft einen Umgehungsfehler in VS Code als 'Exploitation More Likely' eingestuft hat, ohne diese CVE eindeutig zu nennen. Ungeklärt, bis der Eintrag von Microsoft geprüft ist.
Unsere Empfehlung
- Alle Installationen von Visual Studio Code, einschliesslich portabler und verwalteter Installationen, auf Version 1.145.3 oder neuer aktualisieren.
- Entwickler-Arbeitsstationen priorisieren, da VS Code häufig Zugriff auf Quellcode, Zugangsdaten und Terminals hat.
- Das MSRC-Advisory für die verbindliche Fix-Zuordnung und die Bewertung der Ausnutzbarkeit prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-119982 msrc.microsoft.com
- CVE Record CVE-2026-119982 www.cve.org
- Visual Studio Code 1.145 release notes code.visualstudio.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- Zero Day Initiative November 2026 security update review www.zerodayinitiative.com
- Strix CVE-2026-119982 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.