VS Code-forks udsætter udviklere for ondsindede anbefalede udvidelser

Forgrenede versioner af Visual Studio Code-IDE’en udsætter udviklere for en voksende risiko i softwareleverandørkæden, som er knyttet til anbefalede udvidelser. Sikkerhedsforskere advarer om, at nogle forks foreslår udvidelser, som ikke findes i betroede registre, hvilket giver angribere mulighed for at udgive ondsindede pakker under disse navne og narre brugere til at installere dem.

Problemet rammer både traditionelle VS Code-forks og nyere AI-assisterede udviklingsværktøjer, som genbruger VS Codes anbefalingslogik uden at håndhæve de samme valideringskontroller.

Hvordan angrebsvektoren fungerer

VS Code understøtter anbefalinger af udvidelser via konfigurationsfiler, der foreslår nyttige tilføjelser til et projekt eller et miljø. Udviklere har typisk tillid til disse anbefalinger, fordi den officielle VS Code-markedsplads håndhæver beskyttelse af ejerskab og navnerum.

Mange VS Code-forks er dog afhængige af alternative udvidelsesregistre. Når disse forks genbruger anbefalingslister, der oprindeligt er designet til Microsofts markedsplads, undlader de ofte at verificere, om de refererede udvidelser faktisk eksisterer i det register, de benytter.

Angribere kan udnytte dette hul ved at registrere udvidelser under de anbefalede navne og indlejre ondsindet kode. Når en udvikler installerer udvidelsen, kan den afvikles med de rettigheder, som IDE’en tildeler.

Hvorfor forgrenede IDE’er øger risikoen

Forgrenede IDE’er arver store dele af VS Codes funktionalitet, men kopierer ikke altid de samme sikkerhedsgarantier. Mens den oprindelige platform har streng kontrol med udgivelse af udvidelser, mangler alternative registre ofte reservation af navnerum og verifikation af udgivere.

Som følge heraf kan en anbefaling, der fremstår legitim i IDE’en, pege på en udvidelse, som er fuldstændigt oprettet af en angriber. Udviklere kan installere den uden mistanke, især når IDE’en præsenterer den som et betroet forslag.

AI-fokuserede IDE’er forstærker denne risiko ved aggressivt at promovere udvidelser for at forbedre arbejdsgange, hvilket øger sandsynligheden for utilsigtede installationer.

Hvad en ondsindet udvidelse kan gøre

Når en ondsindet udvidelse er installeret, kan den få adgang til udviklerens arbejdsområde, læse eller ændre kildekode, opsnappe legitimationsoplysninger eller injicere bagdøre i projekter. I delte miljøer kan angribere bruge denne adgang til at kompromittere kode-repositories, build-pipelines eller nedstrømsbrugere.

Da udvidelser ofte kører lydløst i baggrunden, kan udviklere overse ondsindet aktivitet, indtil der allerede er sket betydelig skade.

Hvordan udviklere kan reducere eksponeringen

Udviklere kan reducere risikoen ved at deaktivere automatiske anbefalinger af udvidelser og kun installere udvidelser efter manuel gennemgang. Verifikation af udgiver, gennemgang af anmodede tilladelser og begrænsning af brugen til velkendte projekter hjælper også med at reducere angrebsfladen.

Organisationer bør betragte IDE-udvidelser som en del af softwareleverandørkæden og anvende samme grad af kontrol som for tredjepartsafhængigheder. Overvågning af installerede udvidelser og begrænsning af registre på policyniveau kan yderligere mindske eksponeringen.

Konklusion

VS Code-forks introducerer en subtil, men alvorlig risiko i leverandørkæden, når de anbefaler udvidelser uden at verificere deres eksistens eller ejerskab. Angribere kan udnytte denne tillidsmodel til at distribuere ondsindede udvidelser, som opererer direkte i udviklingsmiljøer. I takt med at IDE-økosystemet fragmenteres, må både udviklere og organisationer indføre strengere kontroller for håndtering af udvidelser for at beskytte kode, legitimationsoplysninger og build-systemer.