Open VSX-də Aşkarlanan Boşluq Zərərli VS Code Genişləndirmələrinin Dərc Öncəsi Yoxlamaları Yan Keçməsinə Şərait Yaradıb

Kibertəhlükəsizlik tədqiqatçıları Open VSX platformasında kritik bir boşluğun təfərrüatlarını açıqlayıblar. Artıq aradan qaldırılmış bu boşluq, Open VSX-in dərc öncəsi skanlama mexanizminə təsir edərək zərərli Microsoft Visual Studio Code (VS Code) genişləndirmələrinin yoxlama prosesindən keçməsinə və reyestrdə canlı yayımlanmasına imkan verirdi.

Boşluğun Mexanizmi və Potensial Risklər

Aşkarlanan məlumata görə, problemin kökündə platformanın skanlama mexanizmindəki tək bir boolean qaytarma dəyəri dayanırdı. Koi adlı tədqiqatçının qeyd etdiyi kimi, “Həmin mexanizmdə tək bir boolean qaytarma dəyəri vardı ki, bu da həm ‘heç bir skaner konfiqurasiya edilməyib’, həm də ‘bütün skanerlər işə düşmədi’ mənasını verirdi.” Bu ikitərəfli məna, sistemin təhlükəsizlik yoxlamalarını düzgün şəkildə həyata keçirə bilməməsinə səbəb olurdu.

Belə bir boşluq, təhlükəsizlik yoxlamalarını yan keçən zərərli genişləndirmələrin proqramçılar və digər istifadəçilər tərəfindən yüklənməsi riskini artırırdı. VS Code genişləndirmələri böyük bir kod bazasına çıxış əldə edə biləcəyi üçün, zərərli bir genişləndirmə RCE (Remote Code Execution) kimi ciddi təhlükələrə yol aça bilərdi. Bu hal, proqram təminatının təchizat zəncirindəki təhlükəsizlik yoxlamalarının nə qədər həyati əhəmiyyətə malik olduğunu bir daha vurğulayır.

Problemin Aradan Qaldırılması

Tədqiqatçılar boşluğu aşkarladıqdan sonra, Open VSX komandası ilə əlaqə quraraq problemi bildirdilər və boşluq artıq uğurla yamalanıb. Bu, istifadəçilərin gələcəkdə potensial zərərli genişləndirmələrdən qorunmasını təmin edir və platformanın təhlükəsizliyini gücləndirir.