Visual Studio Code: Remote Code Execution durch fehlerhafte Autorisierung
Zusammenfassung
Microsoft Visual Studio Code ab 1.0.0 vor 1.145.3 enthält eine fehlerhafte Autorisierung (CWE-863). Ein entfernter, nicht authentifizierter Angreifer kann über das Netzwerk Code ausführen, wenn ein Benutzer dazu verleitet wird, etwa einen präparierten Workspace oder eine präparierte Ressource zu öffnen. Der CVSS-3.1-Basiswert beträgt 8.3 (Hoch) mit Scope-Änderung und vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Ursache und die betroffene Komponente werden in den verfügbaren Quellen nicht beschrieben.
Betroffen
- Microsoft Visual Studio Code 1.0.0 bis vor 1.145.3
Behoben in
- Aktualisierung auf Visual Studio Code 1.145.3 oder neuer (aus dem CVE-Eintrag abgeleitet; auf der MSRC-Advisory zu bestätigen)
Umgehung
- Unbekannt. Kein vom Hersteller veröffentlichter Workaround gefunden.
- Bis zur Behebung: Nur Repositories und Workspaces aus vertrauenswürdigen Quellen öffnen und Workspace Trust sowie Restricted Mode aktiviert lassen (Empfehlung, nicht aus einer Herstellerquelle).
Ausnutzung
- CVE-Eintrag: Reifegrad des Exploit-Codes unbewiesen (E:U).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- In den geprüften Quellen nicht als aktiv ausgenutzt (KEV) gelistet.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Visual Studio Code auf allen Entwickler-Arbeitsplätzen auf 1.145.3 oder neuer aktualisieren, nachdem die Fixversion auf der MSRC-Advisory bestätigt wurde.
- Bis zur Behebung nicht vertrauenswürdige Repositories und Workspaces nur mit Vorsicht öffnen und Workspace Trust sowie Restricted Mode aktiviert lassen.
- Erfassen, auf welchen Geräten VS Code installiert ist und welche Mitarbeitenden externe Repositories oder Remote-Development-Ressourcen nutzen.
- Auf einen öffentlichen Proof of Concept oder einen KEV-Eintrag achten und den NVD-Eintrag prüfen, sobald er analysiert ist.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-119985 msrc.microsoft.com
- CVE Record CVE-2026-119985 www.cve.org
- Strix: CVE-2026-119985 www.strix.ai
- ZDI: November 2026 security update review www.thezdi.com
- Rapid7: Patch Tuesday November 2026 www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.