Um zero-day crítico foi encontrado no OpenVSX, permitindo que pacotes maliciosos comprometem milhões de máquinas de desenvolvedores. Essa falha, identificada por Oren Yomtov da Koi Security, eviden...
Um zero-day crítico foi encontrado no OpenVSX, permitindo que pacotes maliciosos comprometem milhões de máquinas de desenvolvedores. Essa falha, identificada por Oren Yomtov da Koi Security, evidencia a fragilidade das cadeias de extensões em editores de código, ameaçando a segurança de ambientes de desenvolvimento.
Um zero-day crítico foi descoberto no OpenVSX – marketplace de extensões usado por editores como Cursor, Windsurf e VSCodium. A falha permitia que um único pacote malicioso comprometesse milhões de máquinas de desenvolvedores.
Oren Yomtov, pesquisador da Koi Security, identificou que o pipeline automatizado do OpenVSX executava código arbitrário presente em dependências de extensões, utilizando um token secreto com privil��gios de publicação sob a conta @open‑vsx.. Isso possibilitava que invasores submetessem extensões maliciosas ou injetassem código em dependências, capturando o token e distribuindo atualizações comprometidas silenciosamente.
Mais de 10 milhões de máquinas estavam em risco de comprometimento total, com possíveis acessos a arquivos, execução de código, roubo de chaves SSH, injeção em pipelines de CI/CD e até keyloggers.
A falha foi corrigida junto à Eclipse Foundation após divulgação responsável, mas evidencia a fragilidade das cadeias de extensões utilizadas por editores de código.
A falha VSXPloit no OpenVSX é um alerta para a importância de uma abordagem zero-trust na cadeia de extensões de IDEs e editores. Em ambientes corporativos, a aplicação de controles, auditoria e acompanhamento contínuo é essencial.
Na LC SEC, oferecemos serviços especializados em análise de segurança de ambientes de desenvolvimento, políticas de gestão de extensões e monitoramento contínuo para proteção do pipeline DevOps. Conheça nossos serviços em lcsec.io.
Um zero-day é uma vulnerabilidade de segurança que é desconhecida para os desenvolvedores do software afetado e que pode ser explorada por invasores.
Os riscos incluem acesso não autorizado a arquivos, execução de código malicioso, roubo de chaves SSH e injeções em pipelines de CI/CD.
Implemente boas práticas como manter um inventário de extensões, restringir atualizações automáticas e realizar monitoramento contínuo.