Microsoft Visual Studio Code: Umgehung einer Sicherheitsfunktion durch unvollständige Denyliste
Zusammenfassung
Visual Studio Code enthält eine unvollständige Denyliste unzulässiger Eingaben (CWE-184), wodurch ein nicht authentifizierter Angreifer über das Netzwerk eine Sicherheitsfunktion umgehen kann. Für den Angriff ist eine Interaktion eines Benutzers erforderlich, etwa das Öffnen eines präparierten Repositorys oder das Anklicken eines Links. Ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit in hohem Mass beeinträchtigen.
Betroffen
- Microsoft Visual Studio Code ab 1.0.0 vor 1.145.3 (gemäss CVE-Eintrag)
Behoben in
- Microsoft Visual Studio Code 1.145.3 (gemäss CVE-Eintrag; nicht unabhängig verifiziert)
Umgehung
Unbekannt.
Ausnutzung
- Microsoft stuft die Reife des Exploit-Codes als Unproven (E:U) ein.
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Zum Zeitpunkt der Recherche nicht im CISA KEV gelistet (nicht direkt verifiziert).
Unsere Empfehlung
- Den Eintrag im Microsoft Security Update Guide prüfen, um die korrigierte Version zu bestätigen.
- Visual Studio Code auf allen Endgeräten aktualisieren, insbesondere auf Entwickler-Arbeitsplätzen.
- Bis zur Aktualisierung das Öffnen nicht vertrauenswürdiger Repositorys vermeiden und den eingeschränkten Modus (Restricted Mode) aktiviert lassen.
- NVD und CISA KEV nach Veröffentlichung der Analyse erneut prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-121663 msrc.microsoft.com
- CVE Record: CVE-2026-121663 www.cve.org
- VS Code 1.145 release notes code.visualstudio.com
- VS Code GitHub releases github.com
- Patch Tuesday November 2026 (Trinetriops) trinetriops.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.