突破限制模式：Visual Studio Code 中的 XSS 到 RCE

2024 年 4 月，我发现了 Visual Studio Code（VS Code <= 1.89.1）中一个高严重性漏洞，该漏洞允许攻击者将跨站点脚本 (XSS) 漏洞升级为完全远程代码执行 (RCE)——即使在受限模式下也是如此。

桌面版 Visual Studio Code 运行在 Electron 上，渲染进程被沙盒化，并通过Electron 的 IPC 机制与主进程通信。

Jupyter 笔记本新引入的最小错误渲染vscode-app模式中存在一个 XSS 漏洞，允许在笔记本渲染器的 WebView中执行任意 JavaScript 代码。.ipynb如果用户启用了该设置，打开一个精心设计的文件即可触发此漏洞；如果用户settings.json在 VS Code 中打开一个包含精心设计文件的文件夹，并在其中打开一个恶意 ipynb 文件，则可触发此漏洞。即使启用了受限模式（这是用户未明确信任的工作区的默认设置），此漏洞也可能被触发。

在这篇文章中，我们将介绍该漏洞的工作原理以及它如何绕过 VS Code 的限制模式。

漏洞详情

Visual Studio 的默认安装为 Jupyter Notebook 提供了一些内置支持，并为一些常见的输出类型提供了默认渲染器。这些渲染器的源代码可以在 中找到extensions/notebook-renderers/src/index.ts。对于 类型的单元格application/vnd.code.notebook.error，渲染器调用renderError函数，该函数又调用formatStackTrace位于 中的stackTraceHelper.ts。该函数进一步调用linkify位于同一文件中的 ，将对特定单元格中行的引用转换为 VS Code 中的可点击链接。如果启用了最小错误渲染模式，程序将把结果从formatStackTrace传递到createMinimalError，后者执行一些进一步的处理并将结果附加到 webview 的 DOM 。此处复制了带有注释的代码相关摘录。

渲染错误：

function renderError(  outputInfo: OutputItem,  outputElement: HTMLElement,  ctx: IRichRenderContext,  trustHtml: boolean // falseif workspace is not trusted): IDisposable {// ...if (err.stack) {const minimalError = ctx.settings.minimalError && !!headerMessage?.length;    outputElement.classList.add('traceback');const { formattedStack, errorLocation } = formatStackTrace(err.stack);// ...if (minimalError) {      createMinimalError(errorLocation, headerMessage, stackTraceElement, outputElement);    } else {// ...    }  } else {// ...  }  outputElement.classList.add('error');return disposableStore;}

formatStackTrace 和 linkify：

exportfunctionformatStackTrace(stack: string): { formattedStack: string; errorLocation?: string } {let cleaned: string;// ...if (isIpythonStackTrace(cleaned)) {return linkifyStack(cleaned);  }}const cellRegex = /(?<prefix>Cells+(?:u001b[.+?m)?Ins*[(?<executionCount>d+)],s*)(?<lineLabel>line (?<lineNumber>d+)).*/;functionlinkifyStack(stack: string): { formattedStack: string; errorLocation?: string } {const lines = stack.split('n');let fileOrCell: location | undefined;let locationLink = '';for (const i in lines) {const original = lines[i];if (fileRegex.test(original)) {// ...    } elseif (cellRegex.test(original)) {      fileOrCell = {        kind: 'cell',        path: stripFormatting(original.replace(cellRegex, 'vscode-notebook-cell:?execution_count=$<executionCount>'))      };const link = original.replace(cellRegex, `<a href='${fileOrCell.path}&line=$<lineNumber>'>line $<lineNumber></a>`); // [1]      lines[i] = original.replace(cellRegex, `$<prefix>${link}`);      locationLink = locationLink || link; // [2]continue;    }// ...  }const errorLocation = locationLink; // [3]return { formattedStack: lines.join('n'), errorLocation };}

functioncreateMinimalError(errorLocation: string | undefined, headerMessage: string, stackTrace: HTMLDivElement, outputElement: HTMLElement) {const outputDiv = document.createElement('div');const headerSection = document.createElement('div');  headerSection.classList.add('error-output-header');if (errorLocation && errorLocation.indexOf('<a') === 0) {    headerSection.innerHTML = errorLocation; // [4]  }const header = document.createElement('span');  header.innerText = headerMessage;  headerSection.appendChild(header);  outputDiv.appendChild(headerSection);// ...  outputElement.appendChild(outputDiv);}

private readonly validExtensions = new Set(['.svg', '.png', '.jpg', '.jpeg', '.gif', '.bmp', '.webp', '.mp4']); // https://github.com/microsoft/vscode/issues/119384private handleResourceRequest(request: Electron.ProtocolRequest, callback: ProtocolCallback): void {const path = this.requestToNormalizedFilePath(request);let headers: Record<string, string> | undefined;if (this.environmentService.crossOriginIsolated) {if (basename(path) === 'workbench.html' || basename(path) === 'workbench-dev.html') {        headers = COI.CoopAndCoep;      } else {        headers = COI.getHeadersFromQuery(request.url);      }    }// first check by validRootsif (this.validRoots.findSubstr(path)) {return callback({ path, headers });    }// then check by validExtensionsif (this.validExtensions.has(extname(path).toLowerCase())) {return callback({ path });    }// finally block to load the resourcethis.logService.error(`${Schemas.vscodeFileResource}: Refused to load resource ${path} from ${Schemas.vscodeFileResource}: protocol (original URL: ${request.url})`);return callback({ error: -3/* ABORTED */ });  }

not_sus_repo├── .vscode│ └── settings.json├── README.ipynb└── icon.svg

时间线

2024-07-03 供应商披露

2024-07-03 首次联系供应商

2024-07-10 与供应商共享了另外两个 POC

2024-08-02 供应商回复“此案例被评估为低严重性，不符合 MSRC 立即服务的标准，因为如果没有大量的用户交互（即接受保存到攻击者控制的位置的提示），RCE 就不再可能。”

2025-05-14 公开披露

原文始发于微信公众号（Ots安全）：突破限制模式：Visual Studio Code 中的 XSS 到 RCE