0xNews - VS Code Visual Studio Code 익스텐션 extensions 에서 발견된 버그로 인해 공급망 공격 발생 가능 경고

오픈소스 보안 플랫폼 Synk 연구팀 발표

VS Code Visual Studio Code 익스텐션 extensions 에서 발견된 심각한 보안 버그로 인해 공격자는 개발자의 IDE Integrated Development Environment 를 통해 시스템 구축이나 배포 외 개발자 컴퓨터를 공격할 수 있음

취약한 버그가 포함된 확장 기능으로 인해 개발자 컴퓨터에서 원격으로 임의의 코드를 실행하는데 악용될 수 있으며 이를 통해 공급망 공격 supply chain 의 시발점이 될 수 있음

현재 확인된 익스텐션 리스트 4개

LaTeX Workshop

Rainbow Fart

Open in Default Browser

Instant Markdown

모두 누적 설치 2백만건 이상으로 인기있는 확장 기능

개발자 컴퓨터는 일반적으로 중요한 자격 증명을 직간접적으로 제품의 여러 부분에서 상호 작용하기 위해 보유

공격자는 이번 버그를 통해 개발자가 보유한 개인 키를 유출하거나 이를 통한 개발자 코드가 저장된 서버로 몰래 접속 가능

브라우저의 추가 기능과 같은 VS Code 확장 기능을 사용하면 개발자가 관련된 프로그래밍 언어나 디버거와 같은 추가 기능으로 인해 MS 의 Visual Studio Code 를 편하고 더 강력하게 이용할 수 있게 지원

VS Code 는 누적 사용자 1400만명으로 공격자는 명확하게 대상을 노려서 공격할 수 있음

연구팀은 확장 기능의 플러그인을 통해 얼마나 효과적으로 공격이 가능한지 모의 테스트 중에 이번 버그 확인

연구팀은 앞서 발견된 확장 기능 중 Instant Markdown 에서 확인된 경로 탐색 취약점 path traversal vulnerability 은 로컬 웹 서버 일명 localhost 에 접속하도록 공격자는 개발자를 속여 악성 코드를 클릭하도록 속임

이를 통해 로컬에서 호스팅되는 파일을 검색할 수 있음

연구팀은 PoC 데모를 통해 이 버그를 악용하여 VS Code 실행하고 IDE 에 설치된 기본 브라우저에서 Instant Markdown 나 Open in Default Browser 가 설치되어 있는 개발자로부터 SSH 키를 훔칠 수 있음을 확인

LaTeX Workshop 은 악의적인 페이로드를 실행하기 위해 악용될 수 있는 비정화 입력으로 인해 명령 주입 취약점 command injection vulnerability 에 취약한 것으로 확인

공격 데모 동영상

Rainbow Fart 는 zip slip 취약점 이라는 것으로 확인

공격자가 피해자의 컴퓨터에 있는 임의의 파일을 덮어 쓰고 원격 코드 실행 가능

공격이 정상적으로 되는지 확인을 위해 특별히 만들어진 ZIP 파일이 플러그인이 사용하는 import-voice-package 엔드 포인트를 통해 전송되고 확장 프로그램의 작업 디렉토리 외부에 있는 위치에 기록되는 것을 확인

결과적으로 .bashrc 와 같은 파일을 덮어 쓰고 결국 원격 코드 실행 RCE remote code execution 얻는데 사용 가능

각 확장 프로그램, 플러그인은 업데이트로 인해 버그는 모두 해결

하지만 개발자가 편의를 위해 설치하고 사용하는 이런 프로그램을 통해 공격이 된다는 점은 사용자의 주의과 관심이 매우 중요하다는 것을 확인

사용자 정의로 인해 작성된 코드들과 빌드된 종속성들의 잠재적인 위험은 앞으로 개발자와 개발 회사에서 중요하게 짚고 넘어가야할 문제로 확인

openLab