GitHub Codespaces の悪用方法が判明:新たな侵害ベクターからマルウェアを配布

Hackers Can Abuse Legitimate GitHub Codespaces Feature to Deliver Malware

2023/01/17 TheHackerNews — 脅威アクターたちが、GitHub Codespaces の正規の機能を悪用して、被害者のシステムへマルウェアを配信することが可能であるという、新たな研究の結果が明らかになった。GitHub Codespaces とは、クラウドベースのカスタマイズ可能な開発環境のことである。それを利用するユーザーは、Web ブラウザや Visual Studio Code との統合を介して、指定したコードベースのデバッグ/メンテナンス/変更のコミットを実行できる。また、ポート・フォワーディング機能により、コードスペース内の特定のポートで動作する Web アプリケーションに、ローカルマシンのブラウザから直接にアクセスし、テスト/デバッグを行うことも可能だ。

Continue reading “GitHub Codespaces の悪用方法が判明:新たな侵害ベクターからマルウェアを配布”

Visual Studio Code Marketplace の侵害は容易:悪意のエクステンションの登録方法とは?

VSCode Marketplace can be abused to host malicious extensions

2023/01/06 BleepingComputer — 悪意の Visual Studio Code エクステンションを、VSCode Marketplace に驚くほど簡単にアップロードできることを、そして、この弱点を脅威アクターたちが、すでに悪用している兆候を、研究者たちは発見した。Visual Studio Code (VSC) とは、Microsoft が公開しているソースコード・エディタであり、世界中のプロフェッショナル・ソフトウェア開発者の約 70%が使用しているものだ。Microsoft は、VSCode Marketplace とという名の、IDE 用のエクステンション・マーケットを運営することで、アプリ機能の拡張や、多様なカスタマイズ・オプションをアドオンとして提供している。

Continue reading “Visual Studio Code Marketplace の侵害は容易:悪意のエクステンションの登録方法とは?”

Electron ベース・アプリ 18種類に深刻な脆弱性: Teams/WhatsApp/Slack などに影響

Security Analysis Leads to Discovery of Vulnerabilities in 18 Electron Applications

2022/08/17 SecurityWeek — 各社の研究者チームが、Electron ベースのデスクトップ・アプリケーションを解析した結果、広く利用されている複数のソフトウェアに脆弱性が存在していることが判明した。Electron は、クロスプラットフォームのデスクトップ・アプリケーションを開発するための、無償で提供されるオープンソース・フレームワークである。たとえば、Microsoft Teams/WhatsApp/Slack といった、非常に人気の高いアプリケーションの構築にも利用されている。

Continue reading “Electron ベース・アプリ 18種類に深刻な脆弱性: Teams/WhatsApp/Slack などに影響”