官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
微软披露了 GitHub Copilot 和 Visual Studio 中存在的两个高危安全漏洞，攻击者可利用这些漏洞绕过关键安全防护机制。这两个漏洞均于 2025 年 11 月 11 日公开，被评定为"重要"风险等级。
Visual Studio 路径遍历漏洞
首个漏洞编号为（CVE-2025-62449），源于路径名处理机制存在缺陷，属于路径遍历漏洞（CWE-22）。该漏洞可使攻击者访问本地系统受限区域之外的文件和目录。
该漏洞 CVSS 评分为 6.8 分，攻击复杂度较低，攻击者需具备有限权限的本地访问权限。虽然需要用户交互才能触发漏洞，但一旦被利用，将导致高机密性和完整性影响，以及有限的可用性影响。
由于攻击媒介为本地方式，攻击者必须已具备一定程度的系统访问权限。值得注意的是，Visual Studio 作为主流开发环境，该漏洞可能导致敏感源代码和配置文件面临未授权访问风险。
| CVE编号 | 产品 | 影响 | 缺陷类型 | CVSS评分 |
|---|---|---|---|---|
| CVE-2025-62449 | Visual Studio | 安全功能绕过 | CWE-22: 路径遍历 | 6.8 |
| CVE-2025-62453 | GitHub Copilot | 安全功能绕过 | CWE-1426: AI输出验证 | 5.0 |
GitHub Copilot AI输出验证缺陷
第二个漏洞（CVE-2025-62453）涉及生成式AI输出验证不当（CWE-1426）及保护机制失效（CWE-693），专门影响GitHub Copilot的AI生成代码建议功能。该漏洞CVSS评分为5.0分，攻击者可能通过操纵AI输出来绕过安全检查或注入恶意代码建议。
该漏洞尤其值得警惕，因为开发者往往未经严格审查就直接采纳AI助手的代码建议。攻击者可利用此漏洞通过被篡改的代码建议，在项目中植入后门或安全缺陷。虽然这两个漏洞都需要用户交互和本地系统访问权限，但对开发团队而言风险重大。
微软已通过官方CVE渠道发布补丁，使用GitHub Copilot和Visual Studio的开发者应立即更新。此次漏洞披露凸显了AI辅助开发工具日益突出的安全问题，以及实施前验证生成代码的重要性。
建议各组织审查其AI代码生成工具相关的开发实践和安全策略。开发团队应查阅微软官方安全公告获取可用补丁，并对所有AI生成的代码建议实施严格的代码审查流程。
参考来源：
GitHub Copilot and Visual Studio Vulnerabilities Allow Attacker to Bypass Security Feature
本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf
客服小蜜蜂（微信：freebee1024）