VS Code-forkar exponerar utvecklare för skadliga rekommenderade tillägg

Förgrenade versioner av Visual Studio Code-IDE:n exponerar utvecklare för en växande risk i leveranskedjan kopplad till rekommenderade tillägg. Säkerhetsforskare varnar för att vissa forkar föreslår tillägg som inte existerar i betrodda tilläggsregister, vilket gör det möjligt för angripare att publicera skadliga paket under dessa namn och lura användare att installera dem.

Problemet påverkar både traditionella VS Code-forkar och nyare AI-assisterade utvecklingsverktyg som återanvänder VS Codes rekommendationslogik utan att tillämpa samma valideringskontroller.

Hur attackvektorn fungerar

VS Code stöder rekommendationer av tillägg genom konfigurationsfiler som föreslår användbara tillägg för ett projekt eller en miljö. Utvecklare litar vanligtvis på dessa uppmaningar eftersom den officiella VS Code-marknadsplatsen tillämpar skydd för ägarskap och namnutrymmen.

Många VS Code-forkar förlitar sig dock på alternativa tilläggsregister. När dessa forkar återanvänder rekommendationslistor som ursprungligen skapats för Microsofts marknadsplats misslyckas de ofta med att verifiera om de refererade tilläggen faktiskt existerar i det register de använder.

Angripare kan utnyttja detta glapp genom att registrera tillägg under de rekommenderade namnen och bädda in skadlig kod. När en utvecklare installerar tillägget kan det köras med de behörigheter som IDE:n tilldelar.

Varför förgrenade IDE:er ökar risken

Förgrenade IDE:er ärver stora delar av VS Codes funktionalitet men återskapar inte alltid dess säkerhetsgarantier. Medan den ursprungliga plattformen har strikt kontroll över publicering av tillägg saknar alternativa register ofta reservering av namnutrymmen och verifiering av utgivare.

Som följd kan en rekommendation som ser legitim ut i IDE:n peka på ett tillägg som helt skapats av en angripare. Utvecklare kan installera det utan misstanke, särskilt när IDE:n presenterar det som ett betrott förslag.

AI-fokuserade IDE:er förstärker denna risk genom att aggressivt marknadsföra tillägg för att förbättra arbetsflöden, vilket ökar sannolikheten för oavsiktliga installationer.

Vad ett skadligt tillägg kan göra

När ett skadligt tillägg har installerats kan det få åtkomst till utvecklarens arbetsyta, läsa eller ändra källkod, fånga upp autentiseringsuppgifter eller injicera bakdörrar i projekt. I delade miljöer kan angripare använda denna åtkomst för att kompromettera kodförråd, byggpipelines eller nedströmsanvändare.

Eftersom tillägg ofta körs tyst i bakgrunden kan utvecklare missa skadlig aktivitet tills betydande skada redan har uppstått.

Hur utvecklare kan minska exponeringen

Utvecklare kan minska risken genom att inaktivera automatiska rekommendationer av tillägg och endast installera tillägg efter manuell granskning. Att verifiera utgivaren, granska begärda behörigheter och begränsa användningen till välkända projekt minskar också angreppsytan.

Organisationer bör betrakta IDE-tillägg som en del av programvarans leveranskedja och tillämpa samma granskning som för tredjepartsberoenden. Övervakning av installerade tillägg och begränsning av register på policynivå kan ytterligare reducera exponeringen.

Slutsats

VS Code-forkar introducerar en subtil men allvarlig risk i leveranskedjan när de rekommenderar tillägg utan att verifiera deras existens eller ägarskap. Angripare kan utnyttja denna förtroendemodell för att distribuera skadliga tillägg som körs direkt i utvecklingsmiljöer. I takt med att IDE-ekosystemet fragmenteras måste både utvecklare och organisationer införa striktare kontroller för tilläggshantering för att skydda kod, autentiseringsuppgifter och byggsystem.