Une vulnérabilité Zero-Day affectant Visual Studio Code a été découverte dans le mécanisme de communication des WebViews sandboxées. Elle permettrait à un attaquant de contourner l’isolation du sandbox et de dérober des jetons d’authentification GitHub, exposant potentiellement des dépôts privés et du code source sensible.

VS Code et les WebViews : vecteur d’attaque méconnu

Visual Studio Code utilise des WebViews — panneaux intégrés basés sur Chromium — pour afficher des interfaces graphiques dans des extensions. Ces WebViews sont théoriquement sandboxées et isolées du reste du système. La faille identifiée exploite les canaux de communication (postMessage API) entre les WebViews et l’extension principale. Pour les développeurs et entreprises, la compromission de jetons GitHub représente un risque critique : accès aux dépôts privés, aux pipelines CI/CD, aux secrets et variables d’environnement stockés dans GitHub Actions. Un attaquant pourrait introduire du code malveillant dans les dépôts compromis (attaque sur la chaîne d’approvisionnement logicielle).

La vulnérabilité Zero-Day découverte dans Visual Studio Code exploite une faiblesse du mécanisme de communication postMessage utilisé entre les WebViews sandboxées et l’environnement principal de l’éditeur. Un attaquant peut piéger une victime en lui faisant ouvrir un lien spécialement conçu dans github.dev ou dans un environnement VS Code basé sur le web. Une fois le lien ouvert, du contenu non fiable exécuté dans une WebView abuse du système d’échange de messages pour simuler certaines actions de l’utilisateur, contourner des mécanismes de confiance et déclencher l’installation ou l’exécution de composants malveillants. L’attaque permet alors d’accéder au jeton OAuth GitHub associé à la session de la victime et de l’exfiltrer vers un serveur contrôlé par l’attaquant. Comme ce jeton dispose souvent d’autorisations étendues, les cybercriminels peuvent obtenir un accès aux dépôts GitHub privés, consulter ou modifier du code source, et potentiellement compromettre l’ensemble de l’environnement de développement de la victime. L’exploitation ne nécessite généralement qu’un simple clic sur un lien malveillant, ce qui en fait une menace particulièrement dangereuse pour les développeurs utilisant les services GitHub intégrés à VS Code.

Recommandations de Microsoft

Microsoft a publié des recommandations de sécurité et travaille sur un correctif. Les développeurs utilisant github.dev (VS Code dans le navigateur) et ceux ayant des extensions VS Code non maintenues sont particulièrement invités à appliquer les mesures de mitigation disponibles et à mettre à jour VS Code vers la dernière version.

Recommandations clés

  • Mettre à jour VS Code vers la dernière version disponible immédiatement
  • Auditer les extensions VS Code installées et désinstaller celles non maintenues ou de source douteuse
  • Révoquer et régénérer les jetons GitHub si une exposition est suspectée Utiliser des Personal
  • Access Tokens (PAT) GitHub avec des permissions minimales et une durée limitée
  • Activer l’authentification à deux facteurs (2FA) sur les comptes GitHub
  • Éviter d’utiliser github.dev pour des dépôts contenant des secrets jusqu’à la publication du correctif

Articles Similaires