Lỗ hổng Command Injection trong Microsoft Visual Studio Code cho phép thực thi mã qua mạng

Việc trung hòa không đúng các phần tử đặc biệt được sử dụng trong một lệnh ('command injection') trong Visual Studio Code cho phép kẻ tấn công không được ủy quyền thực thi mã qua mạng.

• Microsoft Visual Studio Code: các bản từ 1.0.0 đến trước 1.141.1 được đánh dấu affected.
• Hồ sơ không mô tả thêm sản phẩm, plugin, module hoặc nhánh phát hành song song nào bị ảnh hưởng.
• Trạng thái của các nhánh hoặc bản phát hành không được thể hiện trong phạm vi trên vẫn cần được xác minh riêng.

Microsoft Visual Studio Code có lỗi command injection do không trung hòa đúng các phần tử đặc biệt được sử dụng trong lệnh. Lỗi cho phép nội dung lệnh chịu ảnh hưởng của kẻ tấn công đi tới đường xử lý lệnh, nhưng hồ sơ không nêu rõ kênh đầu vào, endpoint hoặc thành phần xử lý cụ thể. Khả năng khai thác có thể thực hiện qua mạng, không yêu cầu quyền truy cập trước, nhưng cần người dùng tương tác. Độ phức tạp khai thác được ghi nhận là thấp. Hồ sơ không xác định chính xác lệnh nào bị ảnh hưởng, mã được thực thi trong ngữ cảnh quyền nào, hoặc điều kiện cấu hình bổ sung nào có thể làm thay đổi phạm vi ảnh hưởng.

• Khả năng tiếp cận: Qua mạng.
• Quyền yêu cầu: Kẻ tấn công không cần quyền truy cập trước hoặc quyền đã được cấp.
• Độ phức tạp: Thấp.
• Tương tác người dùng: Bắt buộc, vì người dùng phải thực hiện hành động cần thiết để kích hoạt đường xử lý bị ảnh hưởng.
• Tình trạng khai thác: Hồ sơ được cung cấp đánh dấu chưa có public exploit; dữ liệu CISA enrichment được trả về ghi nhận exploitation là none. Đây là trạng thái của bằng chứng hiện có và không chứng minh rằng việc khai thác chưa từng xảy ra trong mọi môi trường.

Lỗi có thể dẫn đến thực thi mã tùy ý trong phạm vi bảo mật của tiến trình Microsoft Visual Studio Code sau khi người dùng thực hiện tương tác cần thiết. Vector được cung cấp cho thấy phạm vi bảo mật không thay đổi, nhưng hồ sơ không xác nhận việc nâng quyền, duy trì quyền truy cập, di chuyển ngang hoặc vượt qua một ranh giới đặc quyền khác. Nếu mã được thực thi thành công, tính bí mật, toàn vẹn và tính sẵn sàng của tài nguyên mà tiến trình có thể truy cập đều có thể bị ảnh hưởng. Mức độ hậu quả cụ thể phụ thuộc vào quyền của tài khoản người dùng và dữ liệu có thể truy cập tại thời điểm khai thác.

Nếu bị khai thác thành công, lỗi có thể cho phép thực thi mã trên hệ thống chạy Microsoft Visual Studio Code, từ đó có khả năng ảnh hưởng đến dữ liệu, mã nguồn và hoạt động của máy trạm. Rủi ro thực tế phụ thuộc vào quyền của người dùng, dữ liệu hiện diện trên máy và các kiểm soát endpoint, nhưng hồ sơ không xác định các yếu tố này. Do cần tương tác người dùng, các quy trình mở hoặc xử lý nội dung từ nguồn mạng không tin cậy có thể làm tăng mức phơi nhiễm. Bằng chứng được cung cấp không nêu tên chiến dịch, nạn nhân hoặc sự cố xâm nhập cụ thể.

1. Cập nhật Microsoft Visual Studio Code lên 1.141.1, phiên bản nằm ngoài phạm vi affected được cung cấp trong hồ sơ.
2. Ưu tiên cập nhật các máy trạm có khả năng nhận hoặc xử lý nội dung từ nguồn mạng không tin cậy và các hệ thống được sử dụng để phát triển hoặc duy trì mã nguồn quan trọng.
3. Kiểm tra lại inventory sau cập nhật để xác nhận các bản cài đặt không còn nằm trong phạm vi affected.
4. Hồ sơ không cung cấp một biện pháp giảm thiểu thay thế cụ thể. Tình trạng của các nhánh phát hành song song không được xác nhận, vì vậy không nên suy ra trạng thái an toàn của chúng chỉ từ bản sửa lỗi nêu trên.

1. Kiểm kê tất cả máy trạm và môi trường phát triển có cài Microsoft Visual Studio Code.
2. Đối chiếu phiên bản cài đặt với phạm vi bị ảnh hưởng được nêu trong trường affected_summary.
3. Xác định các máy trạm có khả năng nhận nội dung hoặc yêu cầu từ nguồn mạng không tin cậy và ưu tiên cập nhật các máy này.
4. Như một biện pháp giám sát thận trọng, xem xét endpoint telemetry để phát hiện hành vi thực thi mã bất thường liên quan đến Visual Studio Code sau các phiên làm việc có nguồn mạng đáng ngờ. Hồ sơ không cung cấp IOC, sự kiện log hoặc mẫu tiến trình cụ thể, và việc không thấy sự kiện như vậy không chứng minh hệ thống an toàn.