Yo te demontre yon metòd pou atake editè kòd VSCode, ki pèmèt transfè dosye abitrè nan dwa itilizatè aktyèl la lè w ap louvri yon kòd sous ki fèt espesyalman nan editè a. Nan demonstrasyon sa a, lè w ap louvri kòd Rust ki sèvi ak yon makro pwosedi, li etabli yon koneksyon pou òganize 127.0.0.1:8080 epi li voye sa ki nan fichye a "~/.ssh/id_rsa" ak kle SSH itilizatè a.
Pou konpwomi, li se ase tou senpleman louvri dosye a ak kòd la, san yo pa fè okenn lòt aksyon ak pwojè a. Pou egzanp lan travay, VSCode mande pou Rust-analyzer plugin (yon obligatwa sou tèt estanda rustc du) ak prezans zouti nan sistèm nan pou travay ak kòd nan lang Rust. Pwoblèm nan gen rapò ak ekspansyon macros pwosedi yo pandan premye analiz kòd. Yon efè menm jan an ka reyalize tou nan tan konpile lè l sèvi avèk "kago bati" kòmandman an.
Li te note ke pwoblèm nan ka afekte lòt editè kòd ak lang pwogramasyon. VSCode ak rouye-analize yo itilize sèlman pou demontre vektè atak la. Nan teyori, nenpòt editè kòd ki ekspoze makro pwosedi ki pèmèt ou kreye ekstansyon sentaks ak egzekite kòd nan tan konpile se sansib a pwoblèm nan. Chèchè a okòmansman envestige posiblite pou aksyon move ki fèt pandan konpilasyon kòd, men dekouvri ke macros pwosedi yo te elaji lè kòd sous yo te trete nan editè kòd. Atak la ka afekte lòt langaj pwogramasyon pou egzanp, nan Java, pwosesis anotasyon ka manipile nan yon fason menm jan an.
Sous: opennet.ru
