VDB-332004 · CVE-2025-62449 · EUVD-2025-93394

Microsoft Visual Studio Code CoPilot Chat Extension Directory Traversal

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.1	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Microsoft Visual Studio Code CoPilot Chat Extension gefunden. Dabei geht es um eine nicht genauer bekannte Funktion. Durch das Beeinflussen mit unbekannten Daten kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2025-62449 gehandelt. Der Angriff lässt sich über das Netzwerk starten. Es ist soweit kein Exploit verfügbar. Als bestmögliche Massnahme wird Patching empfohlen.

Detailsinfo

Es wurde eine Schwachstelle in Microsoft Visual Studio Code CoPilot Chat Extension - die betroffene Version ist unbekannt - gefunden. Sie wurde als kritisch eingestuft. Betroffen hiervon ist unbekannter Programmcode. Mit der Manipulation mit einer unbekannten Eingabe kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-22 vorgenommen. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Improper limitation of a pathname to a restricted directory ('path traversal') in Visual Studio Code CoPilot Chat Extension allows an authorized attacker to bypass a security feature locally.

Die Schwachstelle wurde am 11.11.2025 in Form eines bestätigten Security Update Guides (Website) publik gemacht. Das Advisory kann von msrc.microsoft.com heruntergeladen werden. Die Verwundbarkeit wird unter CVE-2025-62449 geführt. Sie gilt als leicht ausnutzbar. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es wird vorausgesetzt, dass das Opfer eine spezifische Handlung vornimmt. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 27.11.2025). Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1006.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 276924 (Security Update for Microsoft Visual Studio Code CoPilot Chat Extension (November 2025)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Die Schwachstelle lässt sich durch das Einspielen eines Patches beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat sofort reagiert.

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (276924) und EUVD (EUVD-2025-93394) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Typ

Programming Tool Software

Hersteller

Microsoft

Name

Visual Studio Code CoPilot Chat Extension

Lizenz

Kommerziell

Webseite

Hersteller: https://www.microsoft.com/

CPE 2.3info

🔒

CPE 2.2info

🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.6
VulDB Meta Temp Score: 6.1

VulDB Base Score: 6.3
VulDB Temp Score: 5.5
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

Hersteller Base Score (Microsoft): 6.8
Hersteller Vector (Microsoft): 🔒

CNA Base Score: 6.8
CNA Vector (Microsoft): 🔒

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Directory Traversal
CWE: CWE-22
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Teilweise
Lokal: Ja
Remote: Ja

Verfügbarkeit: 🔒
Status: Unbewiesen

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Nessus ID: 276924
Nessus Name: Security Update for Microsoft Visual Studio Code CoPilot Chat Extension (November 2025)

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍

Reaktionszeit: 🔒
0-Day Time: 🔒
Exposure Time: 🔒

Timelineinfo

11.11.2025 VulDB Eintrag erstellt
11.11.2025 +0 Tage Advisory veröffentlicht
11.11.2025 +0 Tage Gegenmassnahme veröffentlicht
27.11.2025 +15 Tage VulDB Eintrag letzte Aktualisierung