Visual Studio Copilot and SSMS Remote Code Execution (CVE-2026-103572)
Embrace The Red · 14 oct, 00:00
Qué hacer: Actualiza Visual Studio 2026, Visual Studio 2022 y SQL Server Management Studio al parche de seguridad disponible para resolver CVE-2026-103572.
Microsoft ha publicado un parche para CVE-2026-103572, una vulnerabilidad de ejecución remota de código en Visual Studio Copilot y SQL Server Management Studio que permite a Copilot eludir restricciones de contención y ejecutar comandos arbitrarios. La falla exploita un comportamiento de Windows: el punto final en nombres de archivo se ignora en Win32, permitiendo a Copilot escribir en archivos de configuración sensibles (.mcp.json, settings.json) mediante inyección indirecta de prompts. La vulnerabilidad afecta a Visual Studio 2026 y SSMS a través de una DLL compartida vulnerable (Microsoft.VisualStudio.Copilot.Core.dll).
El investigador descubrió que la validación de rutas en EditsFunctionHandler.GetEditConfirmationTypeAsync comparaba cadenas literales sin tener en cuenta que Windows normaliza los nombres de archivo con punto final. Al escribir a settings.visualstudio.json. (con punto), la validación fallaba pero el archivo escrito resultaba siendo settings.visualstudio.json (punto removido), eludiendo las protecciones.
Encontró múltiples cadenas de ataque: mediante inyección de prompts indirecta, un modelo AI desalineado puede crear entradas MCP maliciosas, modificar la lista enabledMcpServers, o (solo en Visual Studio) sobrescribir el parámetro ripgrepPath para ejecutar binarios arbitrarios. También identificó bypasses de traversal de directorios usando ..\ en rutas de extensiones de confianza, y descubrimiento de Installation-ID leyendo SSMS.isolation.ini. El modelo MAI-Code-1-Flash mostró débil resiliencia a inyección indirecta de prompts.
Puntos clave
- Punto final en nombres de archivo (.mcp.json.) elude validación pero es normalizado al escribir
- Bypasses adicionales: traversal de directorios desde extensiones confiables, lectura de SSMS.isolation.ini
- Ataque vía inyección indirecta de prompts: modificar MCP servers o ripgrepPath para RCE
- Afecta Visual Studio 2022 y 2026, SQL Server Management Studio, DLL compartida Microsoft.VisualStudio.Copilot.Core.dll
- Parche disponible: aplicar actualización de seguridad de Microsoft inmediatamente
Figuras de la fuente
