Microsoft, Material Theme – Free ve Material Theme Icons – Free isimli iki çok kullanılan VS Code eklentisini, kötü niyetli kodlar içermesi nedeniyle Visual Studio Marketplace’inden kaldırdı. Bu iki eklenti, toplamda 9 milyon indirme sayısına ulaşmıştı. Artık VS Code kullanıcıları eklentileri çalıştırmaya çalıştıklarında otomatik olarak devre dışı
Microsoft, 9 milyon kullanıcıya sahip iki popüler VS Code eklentisinde güvenlik açığı tespit etti
Siber güvenlik araştırmacıları Amit Assaraf ve Itay Kruk, bu eklentilerde olağandışı bir kod yapısı tespit ederek durumu Microsoft’a bildirdi. Genelde temalar statik JSON dosyalarıyla çalışma eğilimindeyken, bahsedilen eklentiler “release-notes.js” adını taşıyan, karmaşık ve şifrelenmiş JavaScript kodları barındırıyordu. Açık kaynak yazılımlarda bu tür kodlar genellikle kötü niyetli faaliyetlerin işareti olarak değerlendirilir.
Microsoft, yapılan incelemelerin ardından eklentileri kaldırma kararı aldı ve geliştiricinin hesabını askıya aldı. Şu anda bu eklentilerin ne tür bir tehdit oluşturduğunu araştırmaya devam ediyorlar. Eklentilerin geliştiricisi Mattia Astorino (equinusocio), yaşanan sorunun güncellenmemiş Sanity.io bağı
Leave a comment