When Your IDE Becomes a RCE Endpoint

Trendyol's CSOC and Application Security team uncovered a live supply-chain attack technique targeting Cursor, Windsurf, VSCodium, and other VS Code forks that resolve extensions from OpenVSX. Because Microsoft's Marketplace and OpenVSX are separate trust roots with no shared ownership, attackers can register abandoned or unclaimed publisher.extension namespaces on OpenVSX and silently deliver malicious code to any developer using an affected editor. A full comparison of 129,000 Microsoft Marketplace extensions against 14,194 OpenVSX entries revealed 104,456 squat-ready namespaces, 1,078 publisher mismatches, and 126 exact-ID hijacks including high-install extensions like sumneko.lua and rust-lang.rust. The post walks through the full 8-step attack chain, explains how Cursor's June 2025 migration to OpenVSX dramatically expanded the blast radius, and provides CrowdStrike Falcon detection queries using CURSOR_SPAWN* environment variables. Recommended mitigations include enforcing an organization-wide extension allowlist, enabling auto-update cooldowns, auditing installed extensions against OpenVSX ownership, and treating developer endpoints as production-equivalent assets.

Nguồn: https://medium.com/trendyol-tech/when-your-ide-becomes-a-rce-endpoint-c87b85096b19. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

daniel.haxx.se17 phút13 giờ trướcAI

Do excellent vulnerability reports

Bài viết hướng dẫn cách viết báo cáo lỗ hổng bảo mật (vulnerability reports) chất lượng cao cho các dự án nguồn mở, do người duy trì dự án curl chia sẻ. Các khuyến nghị chính gồm: viết đoạn giới thiệu rõ ràng, cung cấp mã tái hiện lỗi (reproducer) độc lập, gửi kèm bản vá (patch) nếu có thể, chỉ rõ phiên bản bị ảnh hưởng, tuân thủ kênh gửi báo cáo ưu tiên của dự án và sẵn sàng hợp tác trong suốt quá trình. Ngoài ra, bài viết cũng đề cập cách thức viết advisory bảo mật và nhấn mạnh tôn trọng thời gian hạn chế của các maintainer tình nguyện.

Lập trình viên nên đọc bài này để cải thiện chất lượng báo cáo lỗ hổng cho các dự án mở nguồn, tránh gây khó khăn cho các maintainer và tăng cơ hội được giải quyết nhanh chóng.

#security