В VS Code обнаружена 0-day уязвимость для кражи токенов GitHub
Исследователь безопасности Аммар Аскар опубликовал детали критической уязвимости в Visual Studio Code, позволяющей перехватывать токены GitHub OAuth. PoC-эксплоит уже в открытом доступе.
Уязвимость затрагивает механизм авторизации через GitHub в VS Code. При подключении аккаунта редактор получает OAuth-токен с правами на репозитории пользователя. Проблема в том, что токен можно перехватить через специально подготовленное расширение или внешний процесс.
Как сообщает xakep.ru, Аммар Аскар продемонстрировал работающий эксплоит. Атака строится на том, что VS Code хранит токены в памяти процесса без должной изоляции. Злоумышленник может получить доступ к токену через API расширений или прямое чтение памяти, если у него есть локальный доступ к машине.
Проблема особенно актуальна для CI/CD-окружений и удалённой разработки, где VS Code часто используется на shared-инфраструктуре. Украденный токен даёт полный доступ к приватным репозиториям, возможность коммитить код и менять настройки проектов.
Microsoft пока не выпустила патч. Временное решение — отозвать токены через настройки GitHub и переключиться на SSH-ключи для работы с репозиториями. Для команд с жёсткими требованиями к безопасности имеет смысл временно ограничить использование OAuth в VS Code через корпоративные политики.
Уязвимость подтверждает давний тезис: IDE с богатой экосистемой расширений — это огромная поверхность атаки. Изоляция между расширениями и ядром редактора остаётся слабым местом большинства современных инструментов разработки.
