VDB-159607 · CVE-2020-0604 · GCVE-0-2020-0604

Microsoft Visual Studio Code Environment Variable 权限提升

CVSS 元临时分数	当前攻击价格 (≈)	CTI兴趣分数
7.5	$0-$5k	0.00

摘要信息

在Microsoft Visual Studio Code中曾发现一漏洞，此漏洞被评为致命。受此问题影响的是某些未知功能的组件:Environment Variable Handler。当被操控时，会导致权限提升。此安全漏洞编号为CVE-2020-0604。攻击可能远程发起，没有可利用漏洞。建议通过打补丁来解决此问题。

在Microsoft Visual Studio Code中曾发现一漏洞，此漏洞被评为致命。受此问题影响的是某些未知功能的组件:Environment Variable Handler。当被操控时，会导致权限提升。采用 CWE 描述该问题会链接到 CWE-269。该漏洞已于 2020-08-11 作为Security Update Guide （网站）发布。公告共享下载网址是portal.msrc.microsoft.com。此公开信息已与相关厂商协同。

此安全漏洞编号为CVE-2020-0604。攻击可能远程发起，无技术细节可用。该漏洞的普及率低于常规水平。没有可利用漏洞。漏洞利用的当前现价为美元计算大致为USD $0-$5k。 MITRE ATT&CK项目使用攻击技术T1068来解决该问题。安全公告说明：

A remote code execution vulnerability exists in Visual Studio Code when it process environment variables after opening a project. An attacker who successfully exploited the vulnerability could run arbitrary code in the context of the current user. If the current user is logged on with administrative user rights, an attacker could take control of the affected system. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights.

若有长度，则其被标记为未定义。我们估计的零日攻击价值约为$5k-$25k。

建议通过打补丁来解决此问题。如果在漏洞披露后立即发布了可能的缓解措施。