Code for IBM i: Fehlende Integritätsprüfung von IBM-i-Komponenten erlaubt Codeausführung
Zusammenfassung
Die Visual-Studio-Code-Erweiterung Code for IBM i (vscode-ibmi) akzeptiert IBM-i-Komponenten, nachdem nur geprüft wurde, ob eine Prozedur existiert, ohne deren Integrität zu verifizieren. Ein lokales Konto auf dem IBM-i-Host mit Schreibzugriff auf eine Komponente mit breiten öffentlichen Berechtigungen, etwa GETMBRINFO, kann diese verändern. Verbindet sich später ein Entwickler, führt die Erweiterung das veränderte Programm unter dem Konto des Entwicklers aus, das unter Umständen höhere Privilegien besitzt. Der CVSS-4.0-Vektor deutet auf eine Erreichbarkeit über das Netzwerk hin, die Beschreibung auf einen lokalen Angreifer; die tatsächliche Exponierung sollte daher überprüft werden.
Betroffen
- codefori vscode-ibmi Versionen vor 3.0.1 (CVE-Eintrag und Research-Notizen)
- Hinweis: Die Auszüge der GHSA-Seite nennen betroffene Versionen unterhalb 2.18.0 mit korrigierter Version 3.0.0, was dem CVE-Eintrag widerspricht; den endgültigen Bereich auf der GHSA-Seite oder in der NVD prüfen
Behoben in
- Behoben in Version 3.0.1 (Fix-Commit 6a13990a0f6c2fb4cf71ba8fbde1cef32c808b1e)
- Keine IBM-i-seitige PTF für dieses Problem identifiziert
Umgehung
Unbekannt.
- Kein vom Hersteller dokumentierter Workaround gefunden
- Bis Version 3.0.1 ausgerollt ist: Schreibzugriff auf IBM-i-Komponenten und von der Erweiterung geladene Programme einschränken und Objektberechtigungen auf gemeinsam genutzten Bibliotheken überprüfen (Härtungsmassnahme, nicht vom Hersteller bestätigt)
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Kein öffentlicher Proof of Concept gefunden; fehlende Hinweise sind keine Bestätigung der Nichtexistenz
Unsere Empfehlung
- Versionen von vscode-ibmi auf allen Entwickler-Arbeitsplätzen inventarisieren und jede Installation unter 3.0.1 aktualisieren
- Öffentliche oder breite Berechtigungen auf IBM-i-Bibliotheken, die Komponenten der Erweiterung enthalten, prüfen und unnötige Schreibrechte entfernen
- Den NVD-Eintrag und die GHSA-Seite auf endgültige betroffene Bereiche und Änderungen beim Ausnutzungsstatus prüfen
- Priorität ist hoch für KMU mit IBM-i-Entwicklungsteams und lockeren Objektberechtigungen; niedriger, wenn die Berechtigungen restriktiv sind
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 6a13990 (codefori/vscode-ibmi) github.com
- GitHub Security Advisory GHSA-rmqv-7c5v-wvjc github.com
- OSV entry CVE-2026-49483 osv.dev
- codefori/vscode-ibmi repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:33.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.