کمیته رکن چهارم – یک پژوهشگر امنیتی جزئیات و کد بهرهبرداری یک آسیبپذیری روز-صفر در Visual Studio Code را منتشر کرده است؛ نقصی که میتواند به مهاجمان اجازه دهد با فریب کاربران برای کلیک روی یک لینک، توکنهای احراز هویت GitHub آنها را سرقت کنند.
به گزارش کمیته رکن چهارم، این آسیبپذیری توسط عمار عسکر شناسایی و بهصورت عمومی افشا شده است. به گفته وی، مهاجمان میتوانند از ضعف موجود در سازوکار تبادل پیام میان WebViewهای ایزولهشده در VS Code سوءاستفاده کرده و افزونههای مخربی را روی محیط github.dev نصب کنند.
در سناریوی حمله، کد مخرب با اجرای جاوااسکریپت در یک WebView اقدام به شبیهسازی فشرده شدن کلیدها کرده و افزونهای را نصب میکند که قادر به استخراج توکن OAuth گیتهاب است. این توکنها برای تعامل github.dev با حساب کاربری کاربران مورد استفاده قرار میگیرند و دسترسی گستردهای به مخازن گیتهاب دارند.
بررسیها نشان میدهد توکنهای مورد استفاده در github.dev تنها به یک مخزن خاص محدود نیستند و میتوانند به تمامی مخازنی که کاربر به آنها دسترسی دارد، دسترسی پیدا کنند. به همین دلیل سرقت این توکنها میتواند پیامدهای امنیتی قابل توجهی برای کاربران و توسعهدهندگان داشته باشد.
این پژوهشگر همچنین نمونه اثبات مفهوم حمله را منتشر کرده است که نشان میدهد مهاجم پس از سرقت توکن قادر خواهد بود از طریق GitHub API تمامی مخازن خصوصی در دسترس قربانی را شناسایی کند. در حال حاضر هیچ وصله رسمی برای این آسیبپذیری منتشر نشده و شناسه CVE نیز به آن اختصاص داده نشده است.
تا زمان انتشار اصلاحیه امنیتی، کاربران میتوانند با حذف کوکیها و دادههای محلی مرتبط با github.dev در مرورگر خود، خطر سوءاستفاده از این نقص را کاهش دهند. این اقدام باعث میشود هنگام تلاش برای انجام عملیات حساس، هشدار احراز هویت مجدد نمایش داده شود و اجرای حمله دشوارتر شود.
عمار عسکر اعلام کرده تنها مدت کوتاهی پیش از انتشار عمومی جزئیات، موضوع را به GitHub اطلاع داده است. وی دلیل افشای فوری این آسیبپذیری را تجربه نامطلوب خود در تعامل با Microsoft Security Response Center عنوان کرده و مدعی شده است که در گذشته نیز آسیبپذیریهای گزارششده توسط او بدون اشاره به جنبه امنیتی یا اعطای اعتبار لازم برطرف شدهاند.
این افشاگری در ادامه انتقادهای فزاینده نسبت به نحوه رسیدگی مایکروسافت به گزارشهای امنیتی منتشر شده است. طی ماههای اخیر نیز چندین آسیبپذیری مهم دیگر در محصولات مایکروسافت توسط پژوهشگران مستقل بهصورت عمومی افشا شدهاند که برخی از آنها در حملات واقعی مورد سوءاستفاده قرار گرفتهاند.
مایکروسافت تاکنون واکنش رسمی نسبت به این آسیبپذیری جدید در Visual Studio Code منتشر نکرده است.
منبع: BleepingComputer
