Material Theme, VS Code Marketplace'ten kaldırıldı

[GN⁺]

Hacker News görüşleri

• VS Code ekibinden Isidor, bir topluluk üyesinin eklentinin güvenlik analizinde kötü niyetli bir amaç tespit ettiğini bildirdi

  • Microsoft güvenlik araştırmacıları bunu doğruladı ve ek olarak şüpheli kod buldu
  • İlgili yayıncı VS Marketplace'ten yasaklandı, tüm eklentileri kaldırıldı ve VS Code örneklerinden silindi
  • Bu durum telif hakkı veya lisans sorunlarıyla ilgili değil; kötü niyetli davranışa karşı alınmış bir önlem
  • VS Marketplace güvenliğe sürekli yatırım yapıyor ve eklenti çalıştırma güvenilirliğiyle ilgili bilgiler ilgili belgelerde bulunabilir

• Birisi "Material Theme (But I Won't Sue You)" adlı eklentinin bir fork'unu oluşturmuş

  • Orijinal bakımcı, kaynak kodunu çevrimdışı hale getirip alternatif sürümleri barındıran kişileri dava etmekle tehdit etmiş
  • Fork için şu adımlar atılmış
    • VS Code ekibine şu anda denetim yapma yetkisi verildi; kötü niyetli bir şey bulunursa hemen kaldırılabilecek
    • Kod tabanı kapsamlı biçimde denetlendi ve kötü niyetli bir unsur bulunmadı
    • değişiklik günlüğü, analiz, Open Collective ve HTML render ile ilgili tüm kod kaldırıldı
    • HTML + sanity loader biraz endişe vericiydi ama tamamen kaldırıldı
    • İki PR ile bağımlılıkların çoğu ve 7.000 satırdan fazla kod kaldırıldı

• Reddit'te 7 ay önce bu eklentide şüpheli değişiklikler fark eden biri varmış

  • Açık kaynakta obfuscation ciddi bir uyarı işaretidir
  • Microsoft'un VS Code eklentileri için güvenlik modelini yeniden düşünmesi gerekiyor
  • Kötü niyetli eklentilerin ortaya çıkmaya devam etmesi muhtemel

• Birisi bu eklentinin bakımcısının zihinsel olarak dengesiz olduğunu düşünüyor

  • Teknik açıdan yetersiz olduğu için iyi insanları kendinden uzaklaştırıyor
  • Yazılımı kullanmasa da bu olayın geride kalmasını umuyor

• "Material Theme (But I Won't Sue You)" adlı alternatif bir paket yüklendi

• Birisi depoda kötü niyetli kısmı bulup bulamayacağını soruyor

  • Obfuscation uygulanmış kod bulduğunu bildiriyor

• Material Theme ile ilgili sorunlar daha önce IntelliJ'de de yaşanmıştı

  • O zaman da mesele yalnızca renklerle ilgili değildi

• İnternet üzerinden farklı insanların ne kadar farklı olduğunu görmek ilginç

  • Çok sayıda bağımlılık yüklemenin uç örnekleri görülüyor
  • log4j olayından sonra güvenlik açıklarına karşı daha hassas hale gelinmiş
  • Bir şirketin başarılı şekilde büyümesi için güvenlik olayları yaşamadan ilerlemesi gerekiyor
  • Sırf renkler yüzünden şirketini ve itibarını riske atan insanlar görülüyor
  • Sonuçta herkesin hayatı kendi bildiği gibi yaşaması önemli

• Başkalarının katkılarını kabul ettikten sonra kaynak kodunu kapalı hale getirmenin tuhaf olduğu düşünülüyor

  • Telif hakkı uzmanı olunmasa da bunun doğru olmadığı hissediliyor