Đang chuẩn bị bài viết bản địa hóa và thông tin nguồn.
Các báo cáo đề cập những crate Rust độc hại, hành vi có thể bị khai thác của tiện ích mở rộng VS Code và việc tích hợp rộng hơn bảo mật chuỗi cung ứng vào AWS Security Hub Extended.
Nhận định
Các báo cáo đề cập những crate Rust độc hại, hành vi có thể bị khai thác của tiện ích mở rộng VS Code và việc tích hợp rộng hơn bảo mật chuỗi cung ứng vào AWS Security Hub Extended.
Dữ liệu đã xác minh
Malicious versions of the arrayref Rust crate (and others) executed a backdoor at compile time. The campaign's infrastructure overlaps with recent DPRK supply chain attacks, including Mastra and axios.
Wiz Research · nguồn được theo dõiSince February, we’ve grown AWS Security Hub Extended from 14 curated partners across 9 categories to 23 partners across 10. At Black Hat this month, 14 of those partners were at the Amazon Web Services (AWS) booth demoing live. Four of those partners delivered theater talks and ten were featured on SecurityLive streaming. We hosted [...]
AWS Security Blog · nguồn được theo dõiYour code editor extensions auto-update and run with your privileges on the machine that holds your source code, your SSH keys, and your publishing credentials, but they rarely show up in a software bill of materials. Using Neo we audited one of the most popular ones, Markdown Preview Enhanced has roughly 9.5 million installs. The neo found five CVEs across two attack surfaces. A WaveDrom rendering bug turned an ordinary Markdown file into JavaScript execution inside the preview, then into arb
ProjectDiscovery Blog · nguồn được theo dõiĐọc sâu hơn
Các báo cáo mới về crate Rust độc hại và lỗ hổng trong tiện ích VS Code cho thấy rủi ro chuỗi cung ứng không dừng ở dependency được triển khai lên production. Trình soạn thảo, quy trình build và hệ sinh thái plugin đều cần được đưa vào cùng một mô hình kiểm soát.
Các phiên bản arrayref độc hại được báo cáo đã chạy backdoor khi biên dịch. Với Rust, kiểm soát dependency phải bao gồm những gì build script và compiler thực thi, không chỉ code chạy trong production.
Extension editor tự cập nhật và chạy với quyền của người dùng, nhưng thường không xuất hiện trong inventory phần mềm. Nghiên cứu về Markdown Preview Enhanced cho thấy vì sao bề mặt này cần được quản trị như một phần chuỗi cung ứng.
Tiếp tục khám phá