Publicado en

Alerta de Seguridad: Vulnerabilidad Zero-Day en VS Code permite el robo de tokens de GitHub

•Publicado enVulnerabilidades

Recientemente se ha dado a conocer una vulnerabilidad crítica de tipo zero-day en Visual Studio Code (VS Code) que pone en riesgo la seguridad de los desarrolladores y las empresas. Este fallo permite a actores malintencionados sustraer tokens de autenticación de GitHub con tan solo un clic por parte del usuario.

¿En qué consiste esta vulnerabilidad?

El fallo de seguridad, descubierto por el investigador Ammar Askar, afecta específicamente a github.dev, la versión de VS Code basada en navegador. La vulnerabilidad reside en el sistema de paso de mensajes de la vista web (webview) de VS Code. Mediante el uso de JavaScript malicioso, un atacante puede simular pulsaciones de teclas para instalar extensiones no autorizadas sin el consentimiento explícito del usuario.

Estas extensiones maliciosas están diseñadas para extraer el token OAuth de GitHub. Lo más preocupante es que dicho token no se limita al repositorio en el que se está trabajando, sino que otorga acceso total a todos los repositorios privados a los que el usuario tenga alcance.

El riesgo de los Zero-Day

Microsoft clasifica un fallo como ‘zero-day’ cuando la vulnerabilidad se hace pública antes de que exista un parche oficial disponible. En este caso, el investigador optó por la divulgación pública inmediata tras experiencias previas insatisfactorias con los procesos de reporte de seguridad de la compañía, lo que deja a los usuarios expuestos hasta que se libere una actualización formal.

Recomendaciones de mitigación

Dado que aún no existe un parche oficial, es fundamental que las organizaciones y desarrolladores tomen medidas preventivas inmediatas:

  • Limpieza de datos: Se recomienda encarecidamente borrar las cookies y los datos locales del sitio github.dev en su navegador.
  • Gestión de permisos: Al realizar esta limpieza, el navegador forzará una nueva solicitud de permisos. Si aparece un mensaje indicando que la extensión ‘GitHub Repositories’ desea iniciar sesión, el usuario debe estar alerta y validar la legitimidad de la acción.
  • Vigilancia de extensiones: Revisar periódicamente las extensiones instaladas en VS Code, especialmente aquellas que soliciten acceso a cuentas de terceros.

Desde Intedya, recordamos la importancia de mantener una cultura de ciberseguridad proactiva. La rapidez en la respuesta ante vulnerabilidades conocidas es clave para proteger la propiedad intelectual y la continuidad del negocio.

Fuentes