Microsoft Visual Studio Code のセキュリティ更新プログラム (2025 年 2 月)

high Nessus プラグイン ID 216141

Language:

概要

セキュリティ更新プログラムが不足するアプリケーションがリモートホストにインストールされています。

説明

リモートのホストにインストールされている Microsoft Visual Studio Code のバージョンは、1.97.1 より前です。そのため、以下の複数の脆弱性の影響を受けます。

- Windows 上の code serve-web コマンドのユーザーに対して、VS Code1.97.0 およびそれ以前のバージョンに権限昇格の脆弱性が存在します。攻撃者は、Visual Studio Code リモートサーバーの依存関係によってオプションで要求されるノードモジュールの悪意のあるバージョンを、C:\node_modules のような誰でも書き込み可能なディレクトリに配置し、現在のユーザーの権限で実行させることができます。(CVE-2025-24039)

- VS Code 1.97.0 およびそれ以前のバージョンには脆弱性が存在し、特定の一般的なディレクトリに書き込み権限を持つ攻撃者が、JavaScript デバッガーによって自動的に実行されるバイナリを配置できる可能性があります。これには、攻撃者がユーザーのマシン上でファイルを作成および変更できる権限を持っていることが必要です。(CVE-2025-24042)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。