Falsificación de Solicitud del Lado del Servidor y Consumo Incontrolado de Recursos en LemMinX

La vulnerabilidad permite a un atacante, a través de la descarga de esquemas maliciosos, realizar solicitudes a recursos internos del servidor, potencialmente exponiendo información sensible o comprometiendo la seguridad de la aplicación. El ataque DoS se produce al descargar archivos de esquema excesivamente grandes, lo que puede agotar los recursos del servidor y provocar una interrupción del servicio. Esta vulnerabilidad es particularmente preocupante porque puede ser explotada sin autenticación, lo que amplía su superficie de ataque. Un atacante podría, por ejemplo, utilizar la SSRF para acceder a servicios de administración internos o para leer archivos de configuración confidenciales.

Developers and organizations using the vscode-xml extension in Visual Studio Code are at risk. This includes teams working with XML-based projects, particularly those who rely on schema validation or automatic schema downloads. Shared hosting environments where multiple users share a single VS Code instance are also at increased risk, as a compromised user could potentially exploit the vulnerability to impact other users.

• windows / supply-chain: Monitor VS Code processes (code.exe) for unusual network connections using Get-Process | Where-Object {$_.ProcessName -eq 'code'}. Check for suspicious entries in the VS Code extension directory (typically %USERPROFILE%/.vscode/extensions) for modified or unexpected files.

Get-Process | Where-Object {$_.ProcessName -eq 'code'} | Select-Object Name, Id, CPU, WorkingSet

• linux / server: Monitor VS Code processes (code) using ps aux | grep code. Examine system logs (e.g., /var/log/syslog) for errors related to schema downloads or network connections originating from the VS Code process.

ps aux | grep code

• generic web: Monitor VS Code instances for outbound HTTP requests to unusual or unexpected domains. Examine VS Code's network traffic using tools like Wireshark or tcpdump for suspicious patterns.

1. 2022-02-19Disclosure

   disclosure

2. 2022-02-19Patch

   patch

1. Reservado2022-02-17
2. Publicada2022-02-19
3. Modificada2023-11-08
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar la extensión vscode-xml a la versión 0.19.0 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a la red desde el servidor donde se ejecuta vscode-xml. Además, se puede configurar un firewall de aplicaciones web (WAF) para bloquear solicitudes sospechosas que intenten descargar esquemas maliciosos. Monitorear los registros del servidor en busca de patrones de tráfico inusuales también puede ayudar a detectar y prevenir ataques.