Lỗ hổng path traversal trong Microsoft Visual Studio Code cho phép thực thi mã từ xa

Việc giới hạn không đúng một pathname vào thư mục bị hạn chế ('path traversal') trong Visual Studio Code cho phép kẻ tấn công không được ủy quyền thực thi mã qua mạng.

• Microsoft Visual Studio Code: bị ảnh hưởng từ 1.0.0 và trong toàn bộ phạm vi phiên bản < 1.141.1 theo dữ liệu affected có cấu trúc.
• 1.141.1 là ranh giới được dữ liệu cấu trúc đặt ngoài phạm vi bị ảnh hưởng. Bản ghi không xác nhận trạng thái của các nhánh sản phẩm song song hoặc các nhánh phát hành khác ngoài phạm vi này.

Microsoft Visual Studio Code có lỗi trong việc giới hạn pathname vào thư mục bị hạn chế. Một pathname được tạo thủ công có thể vượt ra ngoài phạm vi thư mục dự kiến, dẫn đến khả năng truy cập hoặc xử lý tài nguyên ngoài ranh giới an toàn và cuối cùng cho phép thực thi mã. Bản ghi cho biết cuộc tấn công có thể thực hiện qua mạng, không yêu cầu quyền trước và có độ phức tạp thấp, nhưng cần người dùng tương tác. Chi tiết về thành phần xử lý pathname, endpoint cụ thể và hoạt động filesystem bị ảnh hưởng chưa được công bố trong bằng chứng hiện có.

Bản ghi mô tả khả năng tấn công từ xa qua mạng bởi một kẻ tấn công không được ủy quyền, không cần xác thực hoặc quyền trước, với độ phức tạp thấp và yêu cầu user interaction. Một bản tóm tắt tư vấn liên quan mô tả tương tác này trong bối cảnh người dùng mở repository độc hại, nhưng bản ghi chính không xác định endpoint hay chuỗi thao tác cụ thể. Dữ liệu hiện có không ghi nhận public exploit, và trạng thái điều phối hiện tại đánh dấu exploitation là none; điều này không chứng minh rằng việc khai thác không thể xảy ra hoặc không xảy ra ở mọi môi trường.

Lỗ hổng có thể dẫn đến thực thi mã từ xa sau khi người dùng thực hiện tương tác cần thiết. Vector tấn công là qua mạng, không yêu cầu quyền trước và có phạm vi ảnh hưởng thay đổi, do đó hậu quả có thể vượt ra ngoài việc đọc một pathname không hợp lệ và ảnh hưởng đến ranh giới bảo mật của môi trường phát triển. Các tác động kỹ thuật có thể gồm tiết lộ dữ liệu, thay đổi nội dung hoặc cấu hình, và làm gián đoạn hoạt động của máy bị ảnh hưởng. Bản ghi không xác lập việc nâng quyền lên cấp hệ điều hành, persistence hoặc lateral movement.

Khai thác thành công có thể cho phép thực thi mã trong ngữ cảnh của Visual Studio Code, từ đó làm ảnh hưởng đến tính bí mật, toàn vẹn và khả dụng của môi trường phát triển. Tác động có thể bao gồm truy cập hoặc thay đổi dữ liệu cục bộ, can thiệp vào hoạt động phát triển và làm gián đoạn máy trạm hoặc quy trình liên quan. Bản ghi không xác nhận một vụ xâm nhập, nạn nhân cụ thể, hành vi đánh cắp dữ liệu hay lan truyền sang hệ thống khác. Mức độ ảnh hưởng thực tế phụ thuộc vào quyền của tiến trình và dữ liệu có thể truy cập trên máy bị khai thác.

1. Cập nhật Microsoft Visual Studio Code lên 1.141.1, là phiên bản được dữ liệu affected có cấu trúc xác định ngoài phạm vi bị ảnh hưởng.
2. Xác minh sau cập nhật rằng mọi bản cài đặt thực tế đã đạt phiên bản mục tiêu, bao gồm các máy trạm phát triển, máy build và thiết bị được quản lý tập trung.
3. Trong thời gian chưa thể cập nhật, hạn chế việc mở repository hoặc nội dung không tin cậy từ nguồn mạng như một biện pháp giảm phơi nhiễm tạm thời. Đây là defense-in-depth, không phải workaround cụ thể đã được vendor xác nhận.
4. Tiếp tục rà soát các nhánh hoặc kênh phát hành riêng nếu tổ chức sử dụng chúng, vì bản ghi hiện có không xác nhận tình trạng của mọi nhánh song song.

1. Kiểm kê mọi cài đặt Microsoft Visual Studio Code trên máy trạm phát triển, máy build và các hệ thống có thể nhận nội dung hoặc repository từ mạng.
2. Đối chiếu phiên bản cài đặt với ranh giới phiên bản đã được xác định trong phần remediation; không coi việc sản phẩm đang chạy bình thường là bằng chứng an toàn.
3. Rà soát các workflow trong đó người dùng mở repository, workspace hoặc nội dung không tin cậy từ nguồn mạng, vì đây là điều kiện tương tác được mô tả trong tư vấn liên quan.
4. Như một biện pháp giám sát phòng ngừa, kiểm tra endpoint telemetry về hoạt động tạo process bất thường từ Visual Studio Code gần thời điểm xử lý nội dung không tin cậy. Không có IOC hoặc sự kiện log cụ thể nào được cung cấp, và việc không thấy log đáng ngờ không chứng minh hệ thống không bị ảnh hưởng.