Czy bezpieczeństwo rozszerzeń w Open VSX jest zagrożone?
Czy bezpieczeństwo rozszerzeń w Open VSX jest zagrożone?
Badacze bezpieczeństwa z Manifold dokonali niepokojącego odkrycia – zidentyfikowali 77 złośliwych rozszerzeń do Visual Studio Code w repozytorium Open VSX. Te rozszerzenia podszywały się pod prawdziwe projekty z VS Code Marketplace, wykorzystując ich nazwy oraz opisy.
W wyniku analizy okazało się, że 58 z tych rozszerzeń zbierało ograniczony zakres informacji, takich jak hostname oraz czasami nazwa workspace lub wersja edytora. Natomiast pozostałe 19 rozszerzeń miało znacznie szerszy zasięg – gromadziły m.in. dane o użytkowniku, workspace, repozytorium git oraz informacje z środowiska CI, co pozwalało na ustalenie ścieżki repozytorium.
Opisując swoje działania, złośliwe rozszerzenia przedstawiały zbieranie danych jako telemetrię, co mogło wprowadzać użytkowników w błąd. Na szczęście, wszystkie zidentyfikowane rozszerzenia zostały już usunięte z Open VSX.
- Złośliwe rozszerzenia podszywały się pod prawdziwe projekty
- 58 z nich zbierało ograniczone informacje
- 19 rozszerzeń gromadziło dane o użytkowniku i środowisku CI
Na podstawie: Źródła
