تحقیقات جدید نشان داده که ناشران بیش از ۱۰۰ افزونه Visual Studio Code توکن‌های دسترسی (access tokens) را فاش کرده‌اند که می‌تواند توسط مهاجمان برای به‌روزرسانی افزونه‌ها سوءاستفاده شود و خطر جدی برای زنجیره تأمین نرم‌افزار ایجاد کند. محقق امنیتی شرکت Wiz، رامی مک‌کارتی، اعلام کرد که “فاش شدن توکن دسترسی شخصی VS Code Marketplace یا Open VSX به مهاجم اجازه می‌دهد مستقیماً به‌روزرسانی مخرب افزونه را در کل پایگاه نصب توزیع کند” و افزود که مهاجم می‌توانست مالور را مستقیماً به ۱۵۰ هزار کاربر توزیع کند.
شرکت Wiz در مجموع بیش از ۵۵۰ رمز محرمانه تأیید شده را در بیش از ۵۰۰ افزونه از صدها ناشر مختلف کشف کرد که شامل رمزهای مربوط به ارائه‌دهندگان هوش مصنوعی مانند OpenAI و Google Cloud، سرویس‌های ابری مانند AWS و GitHub، و پایگاه‌های داده مانند MongoDB بود. همزمان، تهدیدی به نام TigerJack حداقل ۱۱ افزونه مخرب را در VS Code Marketplace منتشر کرده که قابلیت‌هایی مانند سرقت کد منبع، استخراج ارز دیجیتال و ایجاد درهای پشتی از راه دور دارند. دو افزونه C++ Playground و HTTP Format بیش از ۱۷ هزار بار دانلود شدند و علی‌رغم حذف از پلتفرم مایکروسافت، همچنان در Open VSX در دسترس هستند.
کلمات کلیدی : Visual Studio Code, افزونه های مخرب, توکن دسترسی, امنیت نرم افزار, VS Code Marketplace, زنجیره تامین نرم افزار
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.