VS Code Sicherheitsalarm: kritische Sicherheitslücken in Live Server und andere Erweiterungen mit mehr als 128 Millionen Downloads, die exfilterte Dateien erlauben und Code ausführen

Vor einigen Monaten konzentrierten sich die Forscher der Ox Security-Firma auf ein Problem, das jeden betreffen sollte, der Visual Studio Code mit vielen installierten Erweiterungen verwendet: Schwere bis zu kritischen Sicherheitsversagen in sehr beliebten Ergänzungen, die zusammen über 128 Millionen Downloads. Diese Fehler erlauben die Exfiltration von lokalen Dateien zur Remote-Code-Ausführung innerhalb der Entwicklungsumgebung, die sie zu einem idealen Tor für Angriffe macht, die mit engagierten Anmeldeinformationen oder seitlichen Bewegungen in Unternehmensnetzwerken enden.

Die identifizierten Schwachstellen beeinflussen weit verbreitete Erweiterungen: Live Server, Code Runner, Markdown Preview Enhanced und Microsoft Live Preview. Ox Security veröffentlichte ausführliche Analyse für jeden Fall und erklärt, dass seine Ermittler versuchten, das Wartungspersonal seit Juni 2025 ohne Antwort zu benachrichtigen, und sie schließlich die Untersuchungen öffentlich gemacht. Für diejenigen, die die technischen Berichte sehen möchten, hat Ox Security spezifische Einträge auf Live Server, Code Runner, Markdown Preview Enhanced und die Schwachstelle von Live Preview.

Live Server, mit zehn Millionen von Downloads, ist besonders beunruhigend: Laut Ox Security kann eine bösartige Website den Fehler nutzen, der als CVE-2025-65717 identifiziert wurde, um lokale Dateien zuzugreifen, wenn der Entwickler einen lokalen Server ausgeführt hat. Dies ist kein einfaches "Defacement" eines Browser-Tab: Eine gut gestaltete Explosion kann Dateien mit Geheimnissen (API-Tasten, Token, Konfigurationsdateien) direkt von Ihrer Maschine extrahieren. Die technische Analyse ist im Ox Security Blog über Live Server verfügbar.

Code Runner, eine weitere massive Erweiterung, wurde durch eine Schwachstelle als CVE-2025-65715 aufgeführt, die Remote-Code Ausführung durch Manipulation Konfigurationen erlaubt. Insbesondere kann ein Angreifer das Opfer dazu veranlassen, schädliche Snippets in die globalen Einstellungen einzufügen oder einzufügen. json-Datei, die das Verhalten des Codeausführers ändert. Wenn ein schädlicher Schauspieler Ihre Konfiguration erhält, um auf einen ausführbaren oder beliebigen Befehl hinzuweisen, öffnet die Tür den Code mit Ihren Privilegien auszuführen; Ox Security beschreibt, wie Sie dieses Szenario in Ihrem Code Runner Bericht erstellen können.

Markdown Preview Enhanced, die das Rendern von Markdown-Dokumenten innerhalb des Editors erleichtert, stellte auch einen Fehler vor (CVE-2025-65716, Score 8.8), der JavaScript von speziell manipulierten Markdown-Dateien auslaufen lässt. Da viele Entwickler Dokumente von Drittanbietern oder lokale Vorschau öffnen, eine bösartige Markdown-Datei kann ausreichen, um Skripte im Kontext der Erweiterung auszuführen mit den Konsequenzen, die dies bringt. Der technische Bericht von Ox Security untersucht den Angriffsvektor und die Bedingungen für seine Ausbeutung.

Darüber hinaus, in alten Versionen von Microsoft Live Preview, beschreiben die Forscher als "one-click XSS" Schwachstelle, die die Versionen vor 0.4.16 betrifft; richtig ausgenutzt, ermöglicht Zugriff auf sensible Dateien des Entwicklungssystems. Für technische Überprüfung und Konzepttests veröffentlichte Ox Security einen Artikel, der die XSS in Live Preview dokumentiert.

Ox Security warnt, dass diese Fehler nicht auf den VS-Code selbst beschränkt sind: kompatible Editoren oder Gabeln, die VS-Code-Erweiterungen unterstützen, wie Cursor oder Windsurf, könnten auch offen sein, wenn sie diese verletzlichen Erweiterungen laden. Das eigentliche Risiko geht über die verübte Datei hinaus: Ein Angreifer mit Zugriff kann Schlüssel stehlen, in das Netzwerk schwenken und schließlich die Steuerung von Systemen übernehmen, die die Bedrohung auf organisatorischer Ebene erhöht.

Wenn Sie VS-Code verwenden, was können Sie jetzt tun? Das erste ist zu überprüfen, ob Sie die betroffenen Erweiterungen installiert haben und überprüfen, ob Ihre Betreuer Korrekturupdates freigegeben haben. Darüber hinaus bietet Microsoft erweiterte Sicherheitsführung und die Workspace Trust-Funktion, die die Ausführung von unzuverlässigen Code begrenzen helfen; diese Anleitungen sollten gelesen und angewendet werden. Ox Security veröffentlicht auch praktische Empfehlungen in seinen Berichten, einschließlich zu vermeiden, unnötige lokale Server auszuführen, nicht zu öffnen unified HTML, während der lokale Server aktiv ist und nicht die Konfiguration Fragmente in Einstellungen festhalten. json aus nicht bestätigten Quellen.

Jenseits spezifischer Maßnahmen ist es ratsam, eine restriktivere Erweiterungspolitik anzuwenden: nur diejenigen, die Sie wirklich brauchen, Autoren und Redakteure mit gutem Ruf zu bevorzugen und unerwartete Änderungen in der VS-Code-Konfiguration zu überwachen. Für Unternehmensumgebungen reduziert die Isolierung der Entwicklung mit entfernten Umgebungen oder Containern die lokale Ausrüstung; VS Code Remote Development Dokumentation kann als Ausgangspunkt für diese Art der Minderung dienen.

Nicht zuletzt, verantwortliches Sicherheitsmanagement erfordert Kommunikation zwischen Forschern und Managern. Die fehlende Reaktion auf Ox Security-Benachrichtigungen erklärt zum Teil, warum diese Fehler öffentlich wurden: Wenn sie nicht rechtzeitig korrigiert werden, wird das Risikofenster erweitert. Um die von den Entdeckern veröffentlichten technischen Notizen und Konzepttests zu konsultieren, überprüfen Sie die Ox Security-Analysen auf Live Server, Code Runner, Markdown Preview Enhanced und Live Preview. Um zu vertiefen, wie VS Code mit Erweiterung Sicherheit und Arbeitsraumvertrauen behandelt, Microsoft offizielle Dokumentation ist eine gute Ressource.

Die Moral ist klar: Die Erweiterungen machen eine IDE zu einem äußerst mächtigen Werkzeug, aber auch eine Angriffsfläche. Die Verwendung von Erweiterungen ist an sich nicht unsicher, erfordert aber Vorsicht, Updates und Kontrollen so dass die Entwicklungsumgebung nicht zum Eingang wird, durch den die Angreifer Geheimnisse stehlen oder ganze Systeme einnehmen.