覆盖内置 Cody 命令有助于 RCE (CVE-2023-46248)
CVE编号
CVE-2023-46248利用情况
暂无补丁情况
N/A披露时间
2023-11-01漏洞描述
Cody是一个人工智能编码助手。Cody AI VSCode插件0.10.0至0.14.0版本存在远程代码执行漏洞，但具体条件有限。攻击者控制恶意存储库后，可以修改Cody配置文件`.vscode/cody.json`并覆盖Cody命令。如果用户安装了该插件并打开了这个恶意存储库并执行了Cody命令，例如/explain或/doc，可能导致用户计算机上任意代码执行。该漏洞的严重性评级为关键，但利用难度较低。漏洞利用需要用户加载恶意存储库并在VS Code中执行已被覆盖的命令。即使用户通过VS Code Workspace Trust阻止了存储库的代码执行，该问题仍可利用。这个问题是在定期第三方渗透测试中发现的。Cody的维护人员没有证据表明有开源存储库存在恶意的`.vscode/cody.json`文件来利用此漏洞。Cody VSCode插件的0.14.1版本已修复了此问题。如果用户无法及时升级，他们不应打开任何带有已加载Cody插件的不可信存储库。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/sourcegraph/cody/pull/1414 | |
| https://github.com/sourcegraph/cody/security/advisories/GHSA-8wmq-fwv7-xmwq |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | sourcegraph | cody | * | From (including) 0.10.0 | Up to (including) 0.14.0 | ||||
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 低
- 影响范围 已更改
- 用户交互 需要
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-15 | 系统设置或配置在外部可控制 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论