El investigador Ammar Askar filtró una vulnerabilidad en Visual Studio Code que permite robar tokens de OAuth de GitHub mediante extensiones maliciosas en github.dev. El fallo utiliza archivos de Jupyter Notebook para engañar al sistema y saltarse las alertas de instalación. Askar decidió hacer la revelación pública debido a sus malas experiencias previas con el centro de respuesta de seguridad de Microsoft.

Otro cazador de errores indignado ha filtrado una vulnerabilidad que afecta a un producto de Microsoft después de desilusionarse con la forma en que la compañía gestiona los informes de seguridad.

Ammar Askar publicó un exploit de prueba de concepto (PoC) para un fallo de Visual Studio Code (VS Code) apenas una hora después de revelarlo a "un antiguo contacto" en la plataforma de código abierto, según su relato de los hechos [https://blog.ammaraskar.com/github-token-stealing/].

La vulnerabilidad que expuso implica que los atacantes configuren repositorios, ya sean creados por ellos mismos o comprometidos por separado, para enviar extensiones maliciosas de VS Code a través de su función de Recomendaciones del Espacio de Trabajo, que luego roban tokens de OAuth que pueden utilizar para leer/escribir repositorios públicos y privados de GitHub.

Afecta a cualquier persona que haya utilizado github.dev, una función que permite a los usuarios abrir un repositorio de GitHub en una versión de VS Code basada en el navegador.

Askar afirmó que la función se activa mediante el paso de un token de OAuth desde github.com a github.dev y, fundamentalmente, este token no se limita al repositorio desde el cual se inició github.dev. Esto significa que este token puede dar a un atacante acceso a cualquier otro repositorio, público o privado, al que el objetivo también tenga acceso.

El exploit depende de que un atacante pueda modificar el archivo .vscode/extensions.json de un repositorio y recomendar una extensión controlada por el atacante para la instancia de VS Code basada en el navegador.

En escenarios normales, aparecería una ventana emergente pidiendo al usuario que acepte la instalación de esta extensión, lo que podría alertarle de que algo va mal.

Sin embargo, debido a la forma en que el atacante entrega el repositorio al objetivo, ya tienen un archivo de Jupyter Notebook ejecutándose en el github.dev del objetivo antes de que se instale la extensión.

El atacante debe lograr inicialmente que el objetivo abra su repositorio utilizando un enlace de github.dev que apunte a este archivo ipynb, que VS Code abre inmediatamente dentro de una Webview.

Dentro del Jupyter Notebook hay un fragmento de HTML oculto dentro de una celda de Markdown que, al cargarse, permite que se ejecute código JavaScript controlado por el atacante. Este código lanza un atajo de teclado simulado que VS Code transmite al editor principal, engañando al sistema para que acepte automáticamente la ventana emergente de la extensión maliciosa.

La extensión controlada por el atacante se ejecuta entonces con acceso al entorno del navegador y roba el token de OAuth, que puede utilizarse para leer y cambiar cualquier repositorio público o privado.

Askar dijo que experiencias negativas pasadas con el Centro de Respuesta de Seguridad de Microsoft (MSRC) influyeron en su decisión de no seguir el proceso típico de divulgación responsable, publicando el PoC aproximadamente una hora después de avisar a su contacto de GitHub.

“Para resumir, la última vez que interactué con MSRC respecto al reporte de un error de VSCode, fue una experiencia horrible donde arreglaron silenciosamente el error que señalé sin darme ningún crédito”, escribió.

“También lo marcaron como si no tuviera ningún impacto de seguridad. Como mencioné en aquel post, de ahora en adelante haría una divulgación pública completa de cualquier error de seguridad que encontrara en VSCode. Echando un vistazo a un informe reciente de Starlabs sobre un error XSS de VSCode marcado como no elegible y de severidad baja, no parece que MSRC haya mejorado con los errores de VSCode.

“Estoy seguro de que el equipo de VSCode habría agradecido un aviso más largo sobre esto para encontrar soluciones. Legítimamente hay un equilibrio de UI/UX que debe lograrse con las preocupaciones de seguridad. A esa gente, lo siento, pero esta es una de las pocas palancas que tengo para intentar influir en MSRC y la postura de seguridad de VSCode. Encontrar y desarrollar completamente errores de seguridad en pruebas de concepto como esta requiere tiempo y esfuerzo por parte de los investigadores de seguridad que no deben ser irrespetados ni dados por sentados”.

El enfoque de Askar recuerda al de un investigador que se hace llamar Nightmare Eclipse, un presunto ex empleado de Microsoft que ha atraído mucha atención en las últimas semanas por filtrar zero-days sin informar a Microsoft previamente.

El investigador ha publicado hasta ahora seis zero-days, tres de los cuales fueron confirmados rápidamente como explotados por atacantes en la naturaleza.

Fuente:
TheRegister