بنیاد Eclipse توکن‌های فاش شده Open VSX را پس از کشف Wiz لغو کرد

بنیاد اکلیپس (Eclipse Foundation) که پروژه متن‌باز Open VSX را نگهداری می‌کند، اعلام کرد که اقداماتی برای لغو تعداد کمی از توکن‌هایی که در افزونه‌های Visual Studio Code منتشر شده در بازار نشت کرده بودند، انجام داده است. این اقدام در پی گزارش شرکت امنیت ابری Wiz در اوایل این ماه صورت گرفت که نشان داد چندین افزونه از هر دو بازار VS Code مایکروسافت و Open VSX به طور ناخواسته توکن‌های دسترسی خود را در مخازن عمومی فاش کرده‌اند، که این امر به مهاجمان بالقوه امکان کنترل و توزیع بدافزار را می‌داد و عملاً زنجیره تأمین افزونه‌ها را مسموم می‌کرد.

میکائل باربرو، رئیس امنیت بنیاد اکلیپس، در بیانیه‌ای گفت: “پس از بررسی، تأیید کردیم که تعداد کمی از توکن‌ها نشت کرده و احتمالاً می‌توانستند برای انتشار یا تغییر افزونه‌ها سوءاستفاده شوند. این افشاگری‌ها ناشی از اشتباهات توسعه‌دهندگان بود، نه به خاطر نقض زیرساخت Open VSX.” Open VSX همچنین فرمت پیشوند توکن “ovsxp_” را در همکاری با مرکز پاسخ امنیتی مایکروسافت (MSRC) معرفی کرده تا اسکن توکن‌های فاش شده در مخازن عمومی آسان‌تر شود. علاوه بر این، نگهدارندگان رجیستری اعلام کردند که تمام افزونه‌هایی که اخیراً توسط Koi Security به عنوان بخشی از کمپین “GlassWorm” شناسایی شده بودند را حذف کرده‌اند، در حالی که تأکید کردند بدافزار توزیع شده از طریق این فعالیت یک “کرم خودتکثیرشونده” نبود زیرا ابتدا باید اعتبارنامه‌های توسعه‌دهندگان را سرقت کند تا دامنه خود را گسترش دهد.