Auf den Punkt: 77 als legitime Tools getarnte Erweiterungen im Open-VSX-Marktplatz haben Daten aus Entwicklungsumgebungen von Nutzern abgegriffen.
Sicherheitsforscher haben 77 Extensions im Open-VSX-Marktplatz identifiziert, die sich als legitime Entwickler-Tools ausgaben und dabei Informationen über die installierten Systeme und Entwicklungsumgebungen abgriffen. Betroffen sind Nutzer von VS-Code-kompatiblen Editoren wie VSCodium, die Open VSX statt des offiziellen Microsoft-Marktplatzes als Erweiterungsquelle nutzen.
Die betroffenen 77 Erweiterungen im Open-VSX-Marktplatz gaben sich als bekannte und häufig genutzte Entwickler-Tools aus, um Vertrauen zu erschleichen. Im Hintergrund übermittelten sie jedoch Telemetriedaten über das jeweilige System und die Entwicklungsumgebung an externe Server. Open VSX ist eine quelloffene Alternative zum offiziellen Visual Studio Code Marketplace und wird unter anderem von Editoren wie VSCodium, Gitpod oder Eclipse Theia als Standardquelle für Erweiterungen verwendet, da diese aus Lizenzgründen nicht auf Microsofts eigenen Marktplatz zugreifen dürfen.
Für Engineering-Teams ergibt sich daraus ein konkretes Risiko in der Software-Lieferkette: Erweiterungen laufen mit den Rechten des Editors und haben typischerweise Zugriff auf Quellcode, Umgebungsvariablen, installierte Pakete und weitere Metadaten des Entwicklungsrechners. Da Open VSX ein offenes Publishing-Modell verfolgt, ist die Hürde für das Einstellen bösartiger oder täuschend benannter Pakete niedriger als bei stärker kuratierten Marktplätzen. Wer VSCodium, Gitpod, Eclipse Theia oder andere Open-VSX-basierte Editoren im Unternehmenseinsatz hat, sollte davon ausgehen, dass ähnliche Vorfälle wiederkehren können.
Praktisch empfiehlt es sich, installierte Erweiterungen in Entwicklungsumgebungen zu inventarisieren und gegen bekannte schädliche Paketnamen abzugleichen, Publisher-Identitäten und Download-Zahlen vor der Installation zu prüfen sowie interne Allowlists für zugelassene Erweiterungen einzuführen. Netzwerkseitiges Monitoring auf ungewöhnliche ausgehende Verbindungen von Entwicklerrechnern kann zusätzlich helfen, Datenabflüsse durch kompromittierte oder bösartige Extensions frühzeitig zu erkennen.
Quelle: www.bleepingcomputer.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.