Event-Stream Paket-Sicherheitsupdate
Aktualisiert: 23. Juni 2019
Wir haben mit den Autoren von Erweiterungen zusammengearbeitet, um ihre Erweiterungen und Abhängigkeiten zu aktualisieren.
Unten ist die aktuelle Liste der blockierten Erweiterungen
JacobeanResearchandDevelopmentLLC.vscode-scxml-previewjoaquin6.package-watchKazuoCode.gthubsumMaxGotovkin.tslens
26. November 2018 Kai Maetzel, @kaimaetzel
Sie haben vielleicht schon gehört, dass das beliebte NPM-Paket `event-stream` eine bösartige Abhängigkeit enthält. Die Details finden Sie in folgendem GitHub-Issue: https://github.com/dominictarr/event-stream/issues/116. Diese Schwachstelle existiert seit etwa zwei Monaten, wurde aber erst kürzlich entdeckt.
TL;DR: Visual Studio Code ist nicht von der branchenweiten NPM-Paket-Sicherheitslücke `event-stream` betroffen und wir haben unsere Benutzer proaktiv geschützt, indem wir betroffene Erweiterungen vorübergehend aus dem VS Code Marketplace entfernt haben.
Wir haben sofort geprüft, ob und wie wir betroffen sind. Zuerst haben wir Visual Studio Code gescannt. Sowohl die Produktinstallationen von Visual Studio Code (Stable als auch Insiders) sind sicher.
Zweitens haben wir alle Erweiterungen im VS Code Marketplace gescannt. Wir haben mehrere Erweiterungen als betroffen identifiziert. Wir haben beschlossen, aggressive Maßnahmen zu ergreifen, um unsere Benutzer sowie die Autoren dieser Erweiterungen zu schützen und diese Erweiterungen automatisch zu deinstallieren. Die Benutzer müssen nichts tun, um diese Erweiterungen zu entfernen. Die Erweiterungen werden auch aus dem Marketplace entfernt.
Zum Zeitpunkt des Scans enthielten die folgenden Erweiterungen den bösartigen Code
aoisupersix.bve5-language-supportapollographql.vscode-apolloardenivanov.svelte-intellisenseballerina.ballerinaBattleBas.kivy-vscodecesium.gltf-vscodechristianvoigt.argdown-vscodecodemooseus.vscode-devtools-for-chromecurlybracket.vlocodeivory-lab.jenkinsfile-supportJacobeanResearchandDevelopmentLLC.vscode-scxml-previewjoe-re.sql-language-serverjomiller.rtags-clientjorithvdheuvel.webdavKazuoCode.gthubsumkddejong.vscode-cfn-lintKoihik.vscode-lua-formatmyxvisual.vscode-ts-umlOptimaSystems.vscode-apl-language-clientPaul-Ehigie-Paul.nativescript-extendqoretechnologies.qorus-vscodequantum.quantum-devkit-vscoderitwickdey.LiveServerrkoubou.ksproboceo.robojsx-pluginsalbert.comment-tsSiteGo.spgoterminus.tangram-vscode-plugintintrinh.php-refactortomoki1207.pdfvlopes11.advpls-clientwebhint.vscode-webhintwix.stylable-intelligenceYseop.vscode-yseopmlzfzackfrost.commentbarsZowe.vscode-extension-for-zowe
Wir sind dabei, die Autoren dieser Erweiterungen zu benachrichtigen. Sobald die Autoren ihre Erweiterungen aktualisiert haben und wir ihre Benachrichtigung erhalten haben, werden wir das Update überprüfen. Sie können die Erweiterung dann aus dem Marketplace neu installieren.
Hinweis für Erweiterungsautoren: Wenn Sie eine Erweiterung mit dem yeoman Code-Generator erstellt haben, haben Sie möglicherweise den bösartigen Code als Teil der Dev-Abhängigkeiten installiert. Löschen Sie Ihren node_modules-Ordner, bereinigen Sie Ihren npm-Cache mit npm cache clean --force und führen Sie npm install erneut aus.
Erweiterungsautoren müssen das vscode-Modul auf 1.1.22 aktualisieren.
Wir halten Sie auf dem Laufenden.