🟠 CVE-2026-12957: High Schwachstelle

„`html

Zusammenfassung

In Language Servers for AWS vor Version 1.65.0 wurde eine Schwachstelle in der Vertrauensgrenzendurchsetzung identifiziert. Diese Sicherheitslücke ermöglicht es Angreifern, beliebigen Code mit lokalen Berechtigungen auszuführen. Die Schwachstelle wird durch das Öffnen eines böswillig präparierten Workspace-Verzeichnisses ausgelöst und betrifft alle unterstützten Plattformen.

Betroffene Systeme

Von dieser Schwachstelle betroffen sind folgende Komponenten:

• Language Servers for AWS Version < 1.65.0
• Alle unterstützten Betriebssysteme (Windows, Linux, macOS)
• Alle Architekturen (x86, x64, ARM)

Technische Details

Die Schwachstelle basiert auf einer unzureichenden Validierung von Workspace-Konfigurationsdateien. Das Language Server Protocol (LSP) führt Befehle automatisch aus, die in Projektkonfigurationsdateien definiert sind, ohne diese hinreichend zu prüfen. Ein Angreifer kann eine Workspace-Datei mit schädlichen Befehlen präparieren und diese lokal verteilen.

Wenn ein Benutzer den Workspace öffnet und der Vertrauensabfrage zustimmt, werden die in den Konfigurationsdateien enthaltenen Befehle mit den Berechtigungen des aktuellen Benutzers ausgeführt. Dies ermöglicht Remote Code Execution (RCE) im lokalen Kontext.

CVSS-Vektor: AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H (Score: 7.8)

Empfohlene Massnahmen

• Patch-Installation: Upgraden Sie Language Servers for AWS auf Version 1.65.0 oder höher
• Vertrauensprüfung: Überprüfen Sie Workspaces vor dem Öffnen auf Unregelmäßigkeiten
• Sichere Quellen: Laden Sie Workspaces nur von vertrauenswürdigen Quellen herunter
• User Education: Schulen Sie Nutzer zum vorsichtigen Umgang mit externen Workspace-Dateien

Bewertung

Die Schwachstelle wird als High eingestuft (CVSS 7.8), da sie Code-Ausführung mit erhöhten Rechten ermöglicht. Eine Mitigation ist verfügbar. Eine schnelle Patch-Installation wird dringend empfohlen.

„`