VS Code-un 125 Milyondan Çox Yüklənmiş Əlavələrində Ciddi Təhlükəsizlik Boşluqları Aşkarlanıb

Giriş

Kibertəhlükəsizlik tədqiqatçıları Microsoft Visual Studio Code (VS Code) platforması üçün geniş istifadə olunan dörd uzantıda bir sıra ciddi təhlükəsizlik boşluqları aşkarlayıblar. Məcmu olaraq 125 milyondan çox quraşdırılmaya malik olan bu uzantılardakı zəifliklər, uğurla Exploited olunacağı təqdirdə, təhdid aktyorlarına yerli faylları oğurlamağa və ya uzaqdan kod icra etməyə (RCE) imkan verə bilər.

Aşkar Edilmiş Zəifliklər və Potensial Təsirlər

Aşkar edilən boşluqlar istifadəçilər arasında populyar olan aşağıdakı uzantılarda mövcuddur:

• Live Server: Yerli inkişaf üçün real vaxt rejimində veb server təmin edir.
• Code Runner: Müxtəlif proqramlaşdırma dillərində kodu tez icra etməyə imkan verir.
• Markdown Preview Enhanced: Markdown faylları üçün güclü önizləmə və redaktə funksionallığı təklif edir.
• (Dördüncü uzantının adı mənbədə kəsildiyi üçün, ilk üçünü qeyd edirik.)

Bu cür boşluqlar, adətən, proqramların daxil edilən məlumatları düzgün yoxlamaması və ya icazələri səhv idarə etməsi nəticəsində ortaya çıxır. Bir developerin sistemində RCE əldə etmək, hücumçulara onun bütün layihələrinə, mənbə kodlarına, şəxsi məlumatlarına və hətta korporativ şəbəkəyə daxil olmaq üçün qapı açır.

VS Code kimi geniş yayılmış bir IDE (Integrated Development Environment) üçün belə kritik boşluqlar xüsusilə narahatvericidir, çünki milyonlarla proqramçı bu alətlərdən gündəlik işlərində istifadə edir. Zərərli bir Exploit, bir developerin iş stansiyasını kompromisə salaraq, şirkət şəbəkəsinə sızma və ya daha geniş miqyaslı hücumların ilkin mərhələsi ola bilər.

Tövsiyələr

Mütəxəssislər bütün istifadəçiləri bu uzantıların ən son və yamalanmış versiyalarına dərhal yeniləməyə çağırır. Yeniləmələr mövcud olana qədər, müvafiq uzantıların deaktiv edilməsi və ya alternativ həllərdən istifadə edilməsi tövsiyə olunur. Həmçinin, istifadəçilər həmişə quraşdırdıqları hər hansı bir üçüncü tərəf uzantısının icazələrini və etibarlılığını diqqətlə nəzərdən keçirməlidirlər.

Nəticə

Bu hadisə, proqram təminatı təminat zəncirindəki (supply chain) təhlükəsizlik risklərini və üçüncü tərəf komponentlərin, o cümlədən IDE uzantılarının diqqətli şəkildə yoxlanılmasının vacibliyini bir daha vurğulayır. Daimi yeniləmələr və təhlükəsizlik ən yaxşı təcrübələrinə riayət etmək, bu cür riskləri minimuma endirməyin əsas yoludur.