חולשה בעורך הקוד Visual Studio Code בכל הגרסאות שלפני 1.63.2 מאפשרת הרצת קוד על המחשב. הציון שקיבלה הוא 7.8 מתוך 10, והניצול דורש שהמשתמש עצמו יעשה פעולה כלשהי. התיקון קיים מאז דצמבר 2021, ולכן מי שמעדכן באופן שוטף כבר מזמן מחוץ לתמונה.

מה החולשה?

Visual Studio Code הוא עורך הקוד הנפוץ ביותר בעולם הפיתוח היום, וזו בדיוק הסיבה שחולשה בו מעניינת תוקפים. מפתח פותח בו לאורך היום קוד שהוא לא כתב בעצמו: מאגרים שהוריד מהאינטרנט, פרויקטים של לקוחות, דוגמאות שמצא בפורום.

מיקרוסופט לא פרסמה ברשומה את הפרטים הטכניים של הבאג, ולכן אין כאן תיאור של המנגנון עצמו. מה שכן אפשר לקרוא מהניקוד הוא צורת התקיפה, והיא מספרת סיפור די ברור. התקיפה מסומנת כמקומית ולא כמרוחקת, היא אינה דורשת שום הרשאה מוקדמת, והיא דורשת פעולה של המשתמש.

בתרגום לשפה יומיומית: תוקף אינו יכול להגיע לעורך שלכם דרך הרשת ולהריץ שם קוד בכוחות עצמו. הוא צריך שמשהו יגיע אליכם ושאתם תפתחו אותו. מה שהוא מרוויח אם זה קורה הוא פגיעה מלאה בסודיות, בשלמות ובזמינות, כלומר הרצת קוד בהרשאות שלכם על המחשב שלכם.

מי מושפע?

לפי הרשומה, Visual Studio Code בכל גרסה שלפני 1.63.2.

הגרסה הזאת יצאה בדצמבר 2021, ומאז העורך עבר עשרות גרסאות. VS Code מתעדכן לבד כברירת מחדל, ולכן הרוב המוחלט של המשתמשים בישראל ובעולם עבר את הנקודה הזאת מזמן בלי לשים לב.

מי שכן צריך לבדוק הוא מי שמריץ התקנה שהוקפאה בכוונה: מכונות פיתוח ברשתות מבודדות, סביבות בנייה שמקובעת בהן גרסה מסוימת כדי שלא ישתנה דבר, ומכונות וירטואליות ישנות שמישהו מדליק פעם בשנה. שם גרסאות נשארות במקום שנים.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, ואין ברשומה דיווח על ניצול.

בהינתן שהתיקון קיים כבר שנים ושהעורך מתעדכן מעצמו, החשיפה המעשית היום נמוכה. מה שנשאר רלוונטי הוא הקטגוריה יותר מהמקרה הזה: כלי הפיתוח שעל שולחן המפתח הם יעד בפני עצמם, כי תפקידם הוא לפתוח קוד שמקורו בחוץ.

מה עושים?

בדקו איזו גרסה מותקנת אצלכם. בתפריט Help בחרו About, ובמחשבי Mac זה בתפריט Code ואז About Visual Studio Code. כל מספר שנמוך מ-1.63.2 נמצא בטווח שהרשומה מתארת.

אם אתם מתחת לגרסה הזאת, העדכון הרגיל פותר את זה. VS Code מוריד עדכונים לבד ומציג הודעה כשגרסה חדשה מוכנה להתקנה, ואפשר גם לבחור בתפריט Help את האפשרות לבדיקת עדכונים. אחרי ההתקנה צריך להפעיל את העורך מחדש כדי שהגרסה החדשה תיכנס לתוקף.

במכונות שבהן הגרסה מקובעת בכוונה, זו החלטה לבדוק מול מי שקיבע אותה ולא לשנות על דעת עצמכם. דף החולשה של מיקרוסופט הוא המקור הרשמי לפרטי העדכון.