CVE-2026-49484: Code for IBM i оставляет временные файлы доступными всем пользователям

Команда сопровождения расширения Code for IBM i выпустила обновление, устраняющее проблему раскрытия временных файлов. Уязвимость затрагивает пользователей расширения для Visual Studio Code, работающих с объектами и исходным кодом на платформе IBM i.

Подробности

Уязвимость CVE-2026-49484 затрагивает продукт codefori vscode-ibmi — расширение Code for IBM i для Visual Studio Code, предназначенное для сопровождения и компиляции исходного кода на языках ILE на платформе IBM i.

Согласно описанию, в файле src/ui/views/objectBrowser.ts до версии 3.0.1 включительно содержимое, связанное со скачиванием файлов через Object Browser и с процессом «редактирование — сохранение», сохранялось в общем каталоге /tmp без надёжной очистки. На системах, где каталог /tmp доступен другим локальным учётным записям, содержимое этих файлов остаётся читаемым после завершения операций скачивания или редактирования.

Таким образом, локальный пользователь, имеющий доступ к общему каталогу временных файлов, потенциально может ознакомиться с данными, которые другой пользователь расширения скачал или редактировал. Уязвимость отнесена к категории раскрытия информации и имеет базовую оценку CVSS 5.1, что соответствует среднему уровню опасности. Для эксплуатации требуется локальный доступ к системе и наличие других учётных записей, способных читать содержимое /tmp.

Что делать

Разработчики выпустили исправление в версии 3.0.1. Рекомендуется обновить расширение Code for IBM i до версии 3.0.1 или более поздней через стандартный механизм обновления расширений Visual Studio Code.

Если обновление по каким-либо причинам невозможно, следует рассмотреть компенсирующие меры: ограничить доступ других локальных учётных записей к каталогу /tmp, ужесточить права на файлы во временном каталоге, а также по возможности избегать операций скачивания и сохранения через Object Browser на системах с несколькими пользователями. Дополнительно можно настроить мониторинг и периодическую очистку временных файлов, создаваемых расширением. Однако такие меры являются лишь временными — полноценное устранение проблемы обеспечивает только установка исправленной версии.

Уязвимость CVE-2026-49484 демонстрирует типичный риск, связанный с использованием общедоступных временных каталогов для хранения пользовательских данных: даже при среднем уровне критичности такие проблемы могут привести к утечке конфиденциальной информации в многопользовательских средах. Пользователям Code for IBM i рекомендуется как можно скорее обновить расширение до версии 3.0.1 и проверить настройки доступа к каталогу /tmp на своих системах.

Источник: CVE Project (cvelistV5)