Un estudio reciente de la empresa Snyk, ha descubierto fallos en algunas de las extensiones de Visual Studio Code (VSCode), que podrían dar lugar a ataques a la cadena de suministro.

Los graves fallos de seguridad descubiertos en extensiones populares de Visual Studio Code, podrían permitir a los atacantes comprometer las máquinas locales, así como los sistemas de desarrollo, entornos de despliegue e integración de aplicaciones.

La instalación de estas extensiones podría dar lugar a ejecución de código arbitrario en el sistema del desarrollador. Entre ellas se encuentran algunas como “LaTeX Workshop”, “Rainbow Fart”, “Open in Default Browser” o “Instant Markdown”, que acumulan cerca de dos millones de instalaciones.

Hay que tener en cuenta que los sistemas de los desarrolladores suelen tener claves importantes, que les permiten interactuar con repositorios de software e infraestructura de las aplicaciones. No es de extrañar que filtrar la clave privada de un desarrollador, permita a un atacante clonar los repositorios de desarrollo o incluso conectarse a los servidores de producción.

Como prueba de concepto (PoC), los investigadores demostraron que era posible explotar este defecto para robar las claves SSH de un desarrollador que está ejecutando VSCode y tiene Instant Markdown o Open in Default Browser instalado en el IDE. Por otro lado, se descubrió que LaTeX Workshop era susceptible de sufrir una vulnerabilidad de inyección de comandos debido a la entrada no saneada que podía ser explotada para ejecutar payload malicioso. Además, se comprobó que una extensión Rainbow Fart tiene una vulnerabilidad Zip Slip, que permite a un atacante sobrescribir archivos arbitrarios en el sistema de la víctima y obtener la ejecución remota de código.

Aunque los fallos de las extensiones ya han sido subsanados, los hallazgos son importantes a la luz de una serie de incidentes de seguridad que muestran cómo los desarrolladores se han convertido en un lucrativo objetivo de ataque.

Referencias:
https://thehackernews.com/2021/05/newly-discovered-bugs-in-vscode.html
https://snyk.io/blog/vulnerable-visual-studio-code-extensions-marketplace/