Conversation

Notices

1. たかし (tak4@social.076.moe)'s status on Sunday, 21-Jul-2024 00:31:47 JST たかし
   POSIX 系 OS に對する攻撃。$HOME や $PATH の中のファイルを操作するマルウェアは充分に有り得ると思ふ。
   考へられる經路は「インストーラーを装ひ、curl の出力を sh にパイプさせる」「プログラミング言語のパッケージマネージャー (npm とか) にマルウェアを仕込む」「エディターの擴張機能にマルウェアを仕込む」とか。
   「~/.profile」とか「~/.xsession」に書き込みできればなんでもありだし、「~/.config/」などから重要な情報を拔き出すこともできる。
   • ジエントＰ, 葛城 真実（かつらぎ まさみ）, risahana and Kazuhiko like this.
   • risahana@mstdn.jp's status on Sunday, 21-Jul-2024 00:32:22 JST risahana

     in reply to

     @tak4 こん！たかしさん✨️
     素敵な夜を✨️✨️

   • たかし (tak4@social.076.moe)'s status on Sunday, 21-Jul-2024 00:35:49 JST たかし

     in reply to

     • risahana
     こーんでーす!
     risahana likes this.
   • 𝓘𝓶𝓪𝓰𝓲𝓷𝓮𝓼 ╚»★«╝ (imagines3329@mstdn.jp)'s status on Monday, 22-Jul-2024 19:28:45 JST 𝓘𝓶𝓪𝓰𝓲𝓷𝓮𝓼 ╚»★«╝

     in reply to

     @tak4
     >> chromeやFirefoxなどの拡張機能には権限管理システムが存在しており、ファイルへのアクセスなどが必要な拡張機能はインストール時にユーザーの明示的な許可を必要とします。しかし、Visual Studio Codeの拡張機能にはブラウザ拡張機能のような権限管理システムが存在しておらず、「カラーテーマを変更するだけの拡張機能」も「子プロセスを展開する拡張機能」も一様に権限チェックなど不要でインストールできてしまいます。

     https://gigazine.net/news/20240611-visual-studio-code-extension-risk/

     pilinsin likes this.
     たかし repeated this.