કોડ સંપાદકો પરના હુમલાનું પ્રદર્શન જે સ્રોત કોડ ખોલતી વખતે ફાઇલ લીક તરફ દોરી જાય છે

VSCode કોડ એડિટર પર હુમલો કરવાની એક પદ્ધતિ દર્શાવવામાં આવી છે. આ પદ્ધતિ એડિટરમાં ખાસ ફોર્મેટ કરેલ સોર્સ કોડ ખોલતી વખતે વર્તમાન વપરાશકર્તાના વિશેષાધિકારો હેઠળ મનસ્વી ફાઇલોના ટ્રાન્સફરને મંજૂરી આપે છે. પ્રદર્શનમાં, પ્રક્રિયાગત મેક્રોનો ઉપયોગ કરતા રસ્ટ કોડ ખોલતી વખતે, 127.0.0.1:8080 હોસ્ટ સાથે જોડાણ સ્થાપિત થાય છે અને વપરાશકર્તાની SSH કી ધરાવતી "~/.ssh/id_rsa" ફાઇલની સામગ્રી મોકલવામાં આવે છે.

સમાધાન કરવા માટે, પ્રોજેક્ટ પર અન્ય કોઈપણ ક્રિયાઓ કર્યા વિના ફક્ત કોડ ફાઇલ ખોલવી પૂરતી છે. આ ઉદાહરણ માટે VSCode માં રસ્ટ-એનાલાઇઝર પ્લગઇન (ડિફોલ્ટ રસ્ટસી કમ્પાઇલરની આસપાસ રેપર) અને સિસ્ટમ પર ઇન્સ્ટોલ કરેલ રસ્ટ ભાષા ટૂલચેઇનની જરૂર છે. આ સમસ્યા પ્રારંભિક કોડ વિશ્લેષણ દરમિયાન પ્રક્રિયાગત મેક્રો વિસ્તરણથી ઉદ્ભવે છે. "કાર્ગો બિલ્ડ" આદેશનો ઉપયોગ કરીને સંકલન દરમિયાન પણ સમાન અસર પ્રાપ્ત કરી શકાય છે.

એ નોંધ્યું છે કે આ સમસ્યા અન્ય કોડ સંપાદકો અને પ્રોગ્રામિંગ ભાષાઓને અસર કરી શકે છે. VSCode અને rust-analyze નો ઉપયોગ ફક્ત હુમલા વેક્ટર દર્શાવવા માટે કરવામાં આવ્યો હતો. સૈદ્ધાંતિક રીતે, કોઈપણ કોડ સંપાદક જે પ્રક્રિયાગત મેક્રોને ખુલ્લા પાડે છે, જે કમ્પાઇલ સમયે સિન્ટેક્સ એક્સટેન્શન અને કોડ એક્ઝેક્યુશનને મંજૂરી આપે છે, તે સમસ્યા માટે સંવેદનશીલ છે. શરૂઆતમાં, સંશોધકે કોડ સંકલન દરમિયાન દૂષિત ક્રિયાઓની શક્યતાની તપાસ કરી, પરંતુ શોધ્યું કે કોડ સંપાદકોમાં સોર્સ કોડ પ્રોસેસિંગ દરમિયાન પ્રક્રિયાગત મેક્રો ખુલ્લા પડે છે. હુમલો અન્ય પ્રોગ્રામિંગ ભાષાઓને પણ અસર કરી શકે છે; ઉદાહરણ તરીકે, જાવામાં, એનોટેશન પ્રોસેસિંગને સમાન રીતે હેરફેર કરી શકાય છે.

સોર્સ: opennet.ru