Visual Studio Code における任意コード実行の問題 - 葉っぱ日記

Microsoftの提供するテキストエディタ Visual Studio Code にはローカルに保存されている特定の名前のファイルを起動時に読み込み、その内容をコードとして実行してしまう問題があります。現在のv1.7.1では問題は解消されていますが、問題が発生することを確認したv0.8.0との間のどのバージョンで問題が修正されたのかは不明です。 Microsoftでは本件を脆弱性として取り扱っているのか不明です。 以下、IPA経由でのMicrosoftとのやり取りです。 2015-10-04 IPAへの報告 2) 脆弱性を確認したソフトウエア等に関する情報 名称：Visual Studio Code for Windows (https://code.visualstudio.com/) バージョン： v0.8.0 パッチレベル： 言語： 設定情報： ※ パッチレベルについては、マイナー

[sho]

「これは脆弱性ではない」からの「いつの間にか修正されてる」はMicrosoftのわりとよくある対応ではある。そういうとこ、もうちょっとなんとかすれって思う。

[twmw]

マルチユーザーOSを作っているという自覚はまだ無いようだ

[stealthinu]

今はいつの間にか修正されてる模様。しかしこのやり取りとそのタイムラグがなあ…　特に1月から9月まで飛ぶのはひどいだろ。IPAの担当された方はかっこいいな。このやり取りを我慢した葉っぱさんも。

[p260-2001fp]

最新版で問題(脆弱性)自体は解消されている。が、それまでの経緯が興味深い。

[oscdis765]

日本語でやりとりしてくれるんだ

[s-tomo]

起動時に初期化スクリプトを読み込むのは当たり前の動作だろと思いかけたが、それとは別のファイルだった。

[mather314]

C:\node_modules\app.js を勝手に実行するバージョンが過去にあったらしい。

[ockeghem]

興味深い

[n314]

脆弱性じゃないけどバグだから修正したんじゃなかろうか。

[rryu]

Windowsだとなぜか権限昇格のシナリオが思いつかないのは中の人も同じなのか……

[Cujo]

仕様です。どう仕様もありませんねぇ。。。。

[Palantir]

おもしろ、こんな対応なんだ

[s025236]

VS Code関係なくC:\直下(というかユーザディレクトリ以外)を管理者以外が権限昇格無しに操作できる事自体が脆弱性なんだと思うんだけど…