किसी प्रोजेक्ट के settings.json में npm.bin कुंजी को उदाहरण के लिए ./payload.sh पर सेट करके, package.json देखने पर इसके बजाय package.json वाली डायरेक्टरी से ./payload.sh ls --depth 0 --json निष्पादित होगा।

यह भेद्यता इस धारणा को तोड़ती है कि सोर्स-कोड को सुरक्षित रूप से पढ़ा जा सकता है।

उदाहरण हमला

हमलावर इसका उपयोग कैसे कर सकता है इसका एक उदाहरण:

1. हमलावर संलग्न linux-poc जैसी रिपॉजिटरी प्रकाशित करता है
2. लक्ष्य VSCode में सोर्स कोड पढ़ने के लिए रिपॉजिटरी क्लोन करता है
3. लक्ष्य package.json देखता है
4. payload.sh निष्पादित हो जाता है

उपचार विकल्प

मैंने दुर्भावनापूर्ण VSCode वर्कस्पेस settings.json को कम करने के दो तरीके देखे हैं

शमन 1 - केवल उपयोगकर्ता सेटिंग्स

सेटिंग्स को प्रति वर्कस्पेस सेट होने से रोकें। यह VSCode द्वारा पहले से ही git.path, terminal.integrated.shell.linux और कुछ अन्य सेटिंग्स के लिए उपयोग किया जाता है।

यह कुछ उपयोगकर्ताओं के लिए संगतता तोड़ सकता है, लेकिन इसका उदाहरण मौजूद है।
संदर्भ: https://vscode.readthedocs.io/en/latest/getstarted/settings/#settings-and-security

शमन 2 - पुष्टि के लिए संकेत

यदि यह सेटिंग किसी वर्कस्पेस में सेट है, तो बाइनरी निष्पादित करने से पहले उपयोगकर्ता से सेटिंग की पुष्टि करने का संकेत दें।
यह मौजूदा संगतता नहीं तोड़ेगा, और यही वह मार्ग है जो ESLint एक्सटेंशन ने संस्करण 2.1.7 से अपनाया है।

प्रूफ ऑफ कॉन्सेप्ट

Linux

1. VSCode एक्सटेंशन eg2.vscode-npm-script का भेद्य संस्करण (0.3.13 या पुराना) इंस्टॉल करें
2. VSCode में linux-poc डायरेक्टरी को फ़ोल्डर के रूप में खोलें
3. VSCode में इसे देखने के लिए package.json फ़ाइल पर क्लिक करें
4. निष्पादन प्रदर्शित करने के लिए फ़ाइल /tmp/output.txt बनाई जाएगी

Windows

1. VSCode एक्सटेंशन eg2.vscode-npm-script का भेद्य संस्करण (0.3.13 या पुराना) इंस्टॉल करें
2. VSCode में windows-poc डायरेक्टरी को फ़ोल्डर के रूप में खोलें
3. VSCode में इसे देखने के लिए package.json फ़ाइल पर क्लिक करें
4. calc.exe खोला जाएगा

नोट: मैं Windows में बाइनरी के लिए सापेक्ष पथ (relative path) का उपयोग करने में असमर्थ था, हालांकि यह Windows के साथ मेरी अपरिचितता के कारण हो सकता है