RCE no Visual Studio Copilot e SSMS

O pesquisador Johann Rehberger descobriu um erro de validação de caminho em Microsoft.VisualStudio.Copilot.Core.dll, usado pelo Visual Studio e pelo SQL Server Management Studio. A vulnerabilidade recebeu o identificador CVE-2026-103572.

O Copilot proibia a modificação do arquivo de configuração settings.VisualStudio.json, mas não reconhecia o mesmo caminho com um ponto adicional no final — settings.VisualStudio.json.. Quando acessado por APIs comuns de arquivos do Windows, o ponto final era descartado, então a operação de escrita afetava o arquivo protegido original. Isso permitia que um atacante contornasse a restrição à modificação de configurações que controlavam a execução de comandos.

Isso tornou possível implementar duas cadeias: • Visual Studio: por meio de injeção indireta de prompt, o agente modifica copilot.general.tools.ripgrepPath, especificando um arquivo executável arbitrário. Durante uma busca subsequente, o Copilot o executa. O PoC usou calc.exe. • Visual Studio e SSMS: o agente modifica .mcp.json, adiciona um servidor MCP malicioso e o ativa por meio de enabledMcpServers e disabledMcpServers. Quando o servidor inicia, o comando especificado é executado. Além disso, o pesquisador descobriu bypasses usando ..\ em caminhos para o diretório confiável Extensions. No SSMS, eles permitiam ler SSMS.isolation.ini, obter o InstallationID e determinar o caminho para o settings.json do usuário, o que era necessário para ativar o servidor MCP de forma confiável. O ataque pode ser iniciado por injeção indireta de prompt — por exemplo, instruções em um arquivo que o usuário pediu ao Copilot para analisar, ou em dados retornados por um servidor MCP. A injeção de prompt atua como o gatilho aqui, enquanto a capacidade direta de RCE é criada pelo erro de validação do caminho de arquivo.

A Microsoft lançou um patch em 13 de outubro de 2026. De acordo com a análise do diff do patch pelo autor, GetFullPath foi adicionado à verificação para normalizar o caminho antes da comparação.

Artigo: https://embracethered.com/blog/posts/2026/visual-studio-copilot-remote-code-execution/