LemMinXにおけるサーバーサイドリクエストフォージェリと制御不能なリソース消費

この脆弱性を悪用されると、攻撃者は内部ネットワーク上の機密情報にアクセスしたり、外部への不正なリクエストを送信したりする可能性があります。SSRF攻撃は、ファイアウォールを迂回し、通常アクセスできない内部サービスにアクセスするために利用されることがあります。DoS攻撃は、システムリソースを枯渇させ、正当なユーザーがサービスを利用できなくなる可能性があります。特に、vscode-xmlを拡張機能として利用している環境では、攻撃の影響が広範囲に及ぶ可能性があります。攻撃者は、スキーマのダウンロード処理を悪用し、内部ネットワークの探索や、機密データの窃取を試みる可能性があります。

Developers and organizations using the vscode-xml extension in Visual Studio Code are at risk. This includes teams working with XML-based projects, particularly those who rely on schema validation or automatic schema downloads. Shared hosting environments where multiple users share a single VS Code instance are also at increased risk, as a compromised user could potentially exploit the vulnerability to impact other users.

• windows / supply-chain: Monitor VS Code processes (code.exe) for unusual network connections using Get-Process | Where-Object {$_.ProcessName -eq 'code'}. Check for suspicious entries in the VS Code extension directory (typically %USERPROFILE%/.vscode/extensions) for modified or unexpected files.

Get-Process | Where-Object {$_.ProcessName -eq 'code'} | Select-Object Name, Id, CPU, WorkingSet

• linux / server: Monitor VS Code processes (code) using ps aux | grep code. Examine system logs (e.g., /var/log/syslog) for errors related to schema downloads or network connections originating from the VS Code process.

ps aux | grep code

• generic web: Monitor VS Code instances for outbound HTTP requests to unusual or unexpected domains. Examine VS Code's network traffic using tools like Wireshark or tcpdump for suspicious patterns.

1. 2022-02-19Disclosure

   disclosure

2. 2022-02-19Patch

   patch

1. 予約済み2022-02-17
2. 公開日2022-02-19
3. 更新日2023-11-08
4. EPSS 更新日2026-04-02

この脆弱性への対応として、vscode-xmlをバージョン0.19.0にアップデートすることを推奨します。アップデートが困難な場合は、vscode-xmlの設定で、許可するスキーマのダウンロード元を制限するなどの対策を講じる必要があります。また、WAF（Web Application Firewall）やプロキシサーバーを導入し、不正なリクエストを検知・遮断するルールを設定することも有効です。ネットワーク監視を強化し、異常なトラフィックを早期に検知することも重要です。アップデート後、vscode-xmlの動作を確認し、問題がないことを確認してください。