GitHub Copilot für JetBrains IDEs: Offenlegung von Informationen über Command Injection

Zusammenfassung

Das GitHub-Copilot-Plugin von Microsoft für JetBrains IDEs enthält eine Command Injection (CWE-77), die einem berechtigten lokalen Benutzer die Offenlegung von Informationen erlaubt. Der Angriffsvektor ist lokal, erfordert niedrige Berechtigungen und keine Benutzerinteraktion. Die Auswirkung beschränkt sich auf die Vertraulichkeit, und Microsoft stuft die Schwachstelle mit CVSS 5.5 als mittel ein.

Betroffen

• Microsoft GitHub Copilot Plugin für JetBrains IDEs, Versionen 1.0.0 bis vor 1.17.0-251

Behoben in

• Version 1.17.0-251 oder neuer (implizit aus dem betroffenen Bereich abgeleitet; noch nicht gegen die Herstellermeldung verifiziert)

Umgehung

Unbekannt.

Ausnutzung

• Microsoft gibt Ausnutzung mit "No" und öffentliche Bekanntmachung mit "No" an.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Kein öffentlicher Proof of Concept oder Exploit-Code gefunden.

Unsere Empfehlung

• JetBrains IDEs mit dem GitHub-Copilot-Plugin inventarisieren, insbesondere auf gemeinsam genutzten oder privilegierten Arbeitsstationen.
• Plugin auf Version 1.17.0-251 oder neuer aktualisieren und die Version auf jedem Gerät prüfen.
• Bei Verdacht auf Missbrauch Zugangsdaten in Entwickler-Workspaces erneuern.
• MSRC-Advisory und NVD erneut prüfen, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-83953 www.cve.org
• Microsoft Security Update Guide CVE-2026-83953 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:38.