कोड संपादकों पर हमले का प्रदर्शन जो स्रोत कोड खोलते समय फ़ाइल लीक की ओर ले जाता है

VSCode कोड संपादक पर हमला करने की एक विधि का प्रदर्शन किया गया है, जो संपादक में विशेष रूप से डिज़ाइन किए गए स्रोत कोड को खोलने पर वर्तमान उपयोगकर्ता के अधिकारों के भीतर मनमानी फ़ाइलों के हस्तांतरण की अनुमति देता है। इस डेमो में, प्रक्रियात्मक मैक्रो का उपयोग करने वाले रस्ट कोड को खोलने पर, यह 127.0.0.1:8080 होस्ट करने के लिए एक कनेक्शन स्थापित करता है और उपयोगकर्ता की SSH कुंजियों के साथ "~/.ssh/id_rsa" फ़ाइल की सामग्री भेजता है।

समझौता करने के लिए, प्रोजेक्ट के साथ कोई अन्य कार्रवाई किए बिना, केवल कोड के साथ फ़ाइल को खोलना पर्याप्त है। उदाहरण के लिए काम करने के लिए, VSCode को रस्ट-एनालाइज़र प्लगइन (मानक रस्टसी कंपाइलर के शीर्ष पर एक बाइंडिंग) और रस्ट भाषा में कोड के साथ काम करने के लिए सिस्टम में टूल की उपस्थिति की आवश्यकता होती है। समस्या प्रारंभिक कोड विश्लेषण के दौरान प्रक्रियात्मक मैक्रोज़ के विस्तार से संबंधित है। "कार्गो बिल्ड" कमांड का उपयोग करके संकलन समय पर भी एक समान प्रभाव प्राप्त किया जा सकता है।

यह ध्यान दिया गया है कि समस्या अन्य कोड संपादकों और प्रोग्रामिंग भाषाओं को प्रभावित कर सकती है। VSCode और जंग-विश्लेषण का उपयोग केवल आक्रमण वेक्टर को प्रदर्शित करने के लिए किया जाता है। सिद्धांत रूप में, कोई भी कोड संपादक जो प्रक्रियात्मक मैक्रोज़ को उजागर करता है जो आपको सिंटैक्स एक्सटेंशन बनाने और संकलन समय पर कोड निष्पादित करने की अनुमति देता है, समस्या के प्रति संवेदनशील है। शोधकर्ता ने शुरू में कोड संकलन के दौरान होने वाली दुर्भावनापूर्ण कार्रवाइयों की संभावना की जांच की, लेकिन पता चला कि जब कोड संपादकों में स्रोत कोड संसाधित किया गया था तो प्रक्रियात्मक मैक्रोज़ का विस्तार किया गया था। हमला संभवतः अन्य प्रोग्रामिंग भाषाओं को प्रभावित कर सकता है, उदाहरण के लिए, जावा में, एनोटेशन प्रोसेसिंग को इसी तरह से हेरफेर किया जा सकता है।

स्रोत: opennet.ru