CVE-2023-46248

Cody süni intellekt (AI) kodlaşdırma köməkçisidir. Cody AI VSCode genişlənməsinin 0.10.0-dan 0.14.0-a qədər olan versiyaları müəyyən şərtlər daxilində uzaqdan kodun icrasına (Remote Code Execution) qarşı həssasdır. Zərərli repozitoriyanı idarə edən hücumçu `.vscode/cody.json` konfiqurasiya faylını dəyişdirə və Cody əmrlərini yenidən yaza bilər. Əgər bu genişlənmə quraşdırılmış istifadəçi zərərli repozitoriyanı açarsa və `/explain` və ya `/doc` kimi Cody əmrini icra edərsə, bu, istifadəçinin kompüterində ixtiyari kodun icrasına imkan verə bilər. Həssaslıq kritik dərəcəli, lakin istismar edilmə ehtimalı aşağı olaraq qiymətləndirilib. Bu, istifadəçinin zərərli repozitoriyanı yükləməsini və VS Code-da yenidən yazılmış əmri icra etməsini tələb edir. Problem, istifadəçinin VS Code Workspace Trust vasitəsilə repozitoriyada kodun icrasını bloklamasından asılı olmayaraq istismar edilə bilər. Problem standart üçüncü tərəf nüfuz testi zamanı aşkar edilmişdir. Cody-nin texniki dəstək mütəxəssisləri açıq mənbəli repozitoriyalarda bu həssaslığı istismar etmək üçün zərərli `.vscode/cody.json` fayllarının olduğuna dair heç bir sübut tapmamışlar. Problem Cody VSCode genişlənməsinin 0.14.1 versiyasında düzəldilmişdir. İstifadəçilər dərhal yeniləyə bilmirlərsə, Cody genişlənməsi aktiv olduğu halda etibarsız repozitoriyaları açmamalıdırlar.