Python拡張機能がJupyterノートブックファイルを読み込んだ場合、Visual Studio Codeにリモートでコードが実行される脆弱性が存在します。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現行ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。攻撃者が、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。

この脆弱性を悪用するには、攻撃者は標的にしたユーザーを誘導して、Python拡張機能がインストールされたVisual Studio Codeで特別に細工したファイルを開かる必要があります。

更新プログラムでは、Visual Studio Code Python拡張機能がノートブックコンテンツを処理する方法を変更することにより、この脆弱性に対応します。

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Microsoft Visual Studio Code Python拡張機能のセキュリティ更新プログラム (2020年10月 )

high Nessus プラグイン ID 141452

バージョン 1.8