Un investigador reveló una vulnerabilidad "zero-day" en Visual Studio Code que permite robar tokens de autenticación de GitHub mediante enlaces maliciosos. El fallo permite instalar extensiones que acceden a todos los repositorios privados de la víctima a través de github.dev. Mientras llega un parche oficial, se recomienda a los usuarios borrar las cookies y los datos del sitio de github.dev para protegerse.

Un investigador de seguridad ha publicado el código de explotación para una vulnerabilidad de día cero en Visual Studio Code (VS Code) que permite a los atacantes robar tokens de autenticación de GitHub engañando a los usuarios para que hagan clic en un enlace.

Microsoft clasifica un fallo de software como un día cero si se divulga públicamente y/o se explota activamente sin que haya un parche oficial disponible actualmente.

Como explicó el investigador Ammar Askar en una entrada de blog el martes, esta vulnerabilidad de VS Code permite a los atacantes instalar extensiones maliciosas que roban tokens OAuth de GitHub cuando se pasan a github.dev (una versión de Visual Studio Code basada en el navegador utilizada para trabajar en repositorios de GitHub) explotando el sistema de paso de mensajes de webview sandbox de VS Code.


El exploit de prueba de concepto que también publicó el martes abusa de este sistema ejecutando JavaScript malicioso dentro de un webview para simular pulsaciones de teclas en el editor principal e instalar una extensión que extrae el token OAuth de GitHub enviado a github.dev y consulta la API de GitHub para enumerar todos los repositorios privados a los que la víctima puede acceder.

"Esta funcionalidad se logra mediante el envío de un token OAuth por parte de github.com a github.dev que le permite interactuar con GitHub en su nombre", dijo Askar en su blog. "El token no está limitado al repositorio particular con el que interactuaste, lo que significa que tiene acceso total a todos los demás repositorios a los que tienes acceso".

Aunque la vulnerabilidad aún no ha sido parcheada y no se le ha asignado un ID de CVE, los usuarios de VS Code pueden protegerse borrando las cookies y los datos locales del sitio para github.dev en su navegador haciendo clic en el icono de Configuración en la barra de URL y luego yendo a Cookies y datos del sitio > Administrar datos del sitio en el dispositivo.

Esto asegurará que reciban una advertencia de "La extensión 'GitHub Repositories' desea iniciar sesión con GitHub" al hacer clic en enlaces que intenten explotar este fallo.

diálogo de inicio de sesión inicial de github.dev (Ammar Askar)

Askar dijo que notificaron a GitHub una hora antes de divulgar el error en GitHub y señaló que eligió la divulgación pública inmediata debido a una experiencia negativa previa con el proceso de respuesta de seguridad de Microsoft, en el cual un error de VS Code reportado anteriormente fue corregido silenciosamente sin crédito ni reconocimiento del impacto de seguridad.

"Eso fue principalmente una cortesía hacia GitHub, la intención aquí era la divulgación pública total. En mi experiencia pasada reportando errores de github.dev, me dicen que está fuera de alcance y que lo reporte al MSRC. Y como describí en el artículo, realmente no quiero tratar con MSRC en los errores de VSCode", añadió en Reddit.

"Para resumir, la última vez que interactué con MSRC respecto al reporte de un error de VSCode en este enlace, fue una experiencia horrible donde corrigieron silenciosamente el error que señalé sin ningún crédito. También lo marcaron como que no tenía ningún impacto de seguridad.

"Como mencioné en esa publicación, de ahora en adelante realizaré una divulgación pública completa de cualquier error de seguridad que encuentre en VSCode".

Esto sigue a otra serie de días cero en varios productos de Microsoft divulgados por un investigador de seguridad anónimo que utiliza el alias 'Nightmare Eclipse', quien también expresó su descontento con la forma en que el Centro de Respuesta de Seguridad de Microsoft (MSRC) maneja el proceso de divulgación.

Durante los últimos meses, Nightmare Eclipse divulgó los fallos de día cero de escalada de privilegios BlueHammer, RedSun, GreenPlasma y MiniPlasma (los dos primeros están siendo explotados en ataques), YellowKey (un día cero de Windows BitLocker que concede acceso a unidades protegidas) y UnDefend (otro día cero que puede ser explotado para bloquear las actualizaciones de definiciones de Microsoft Defender).

Inicialmente, Microsoft reaccionó a las filtraciones de días cero de Nightmare Eclipse con amenazas de acciones legales en su blog, seguido de un tuit diciendo en X que la empresa "trabajará con las autoridades pertinentes" cuando "un individuo infrinja la ley y participe en actividades maliciosas que causen un daño real a nuestros clientes".

BleepingComputer se puso en contacto con Microsoft para obtener un comentario sobre el fallo de día cero de VS Code divulgado por Askar, pero no hubo una respuesta inmediata.

Fuente:
BleepingComputer