Lühidalt: 77 legitiimsete tööriistadena maskeeritud laiendust Open VSX turuplatsil kogusid kasutajate arenduskeskkondadest andmeid.
Turvateadlased tuvastasid Open VSX turuplatsil 77 laiendust, mis esinesid legitiimsete arendustööriistadena ja kogusid samal ajal teavet installitud süsteemide ja arenduskeskkondade kohta. Mõjutatud on VS Code-ühilduvate redaktorite, näiteks VSCodiumi, kasutajad, kes kasutavad laienduste allikana Open VSX-i, mitte ametlikku Microsofti turuplatsi.
Mõjutatud 77 laiendust Open VSX turuplatsil esinesid tuntud ja sageli kasutatavate arendustööriistadena, et võita kasutajate usaldus. Taustal saatsid need aga telemeetriaandmeid vastava süsteemi ja arenduskeskkonna kohta välistele serveritele. Open VSX on avatud lähtekoodiga alternatiiv ametlikule Visual Studio Code Marketplace’ile ja seda kasutavad laienduste vaikeallikana muu hulgas redaktorid VSCodium, Gitpod või Eclipse Theia, kuna litsentsipõhjustel ei tohi need Microsofti enda turuplatsile ligi pääseda.
Inseneritiimide jaoks kaasneb sellega konkreetne risk tarkvara tarneahelas: laiendused töötavad redaktori õigustega ja neil on tüüpiliselt juurdepääs lähtekoodile, keskkonnamuutujatele, installitud paketidele ja teistele arendaja töömasina metaandmetele. Kuna Open VSX järgib avatud avaldamismudelit, on pahatahtlike või petlikult nimetatud pakettide üleslaadimise lävi madalam kui rangemalt kureeritud turuplatsidel. Kes kasutab ettevõttes VSCodiumi, Gitpodi, Eclipse Theiat või teisi Open VSX-il põhinevaid redaktoreid, peaks arvestama, et sarnased juhtumid võivad korduda.
Praktikas on soovitatav teha arenduskeskkondades installitud laiendustest inventuur ja võrrelda neid teadaolevate pahatahtlike paketinimedega, kontrollida enne installimist avaldajate identiteeti ja allalaadimiste arvu, samuti kehtestada sisemised lubatud laienduste nimekirjad (allowlist). Lisaks võib arendajate töömasinatelt lähtuvate tavatute väljuvate ühenduste võrgupõhine jälgimine aidata varakult tuvastada andmete väljavoolu kompromiteeritud või pahatahtlike laienduste kaudu.
Allikas: www.bleepingcomputer.com · Avaldatud 4. august 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse art. 50-le. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.