VS Code拡張機能の脆弱性とGitHub侵害事件の分析

【なぜ重要か】 VS Code拡張機能の自動更新機能を悪用した攻撃でGitHubが侵害され、約3,700の内部リポジトリからデータが窃取されました。人気の拡張機能Nx Console（220万インストール）も同様の手法で18分間汚染されており、日本のエンジニアも同じリスクに晒されています。

【ポイント】

• Nx Console拡張機能が盗まれたGitHubトークンにより汚染版を公開され、Visual Studio Marketplaceで18分間、OpenVSXで36分間配布された
• VS Codeの自動更新機能により、汚染版は即座にユーザー環境に配布され、6分間は開発者が気付く前に感染が拡大した
• マーケットプレイスは汚染版を削除できても、既にインストールされた拡張機能を強制的に削除する仕組みがない
• AsyncAPIでも同様の攻撃が発生し、汚染版が約1か月間稼働し続け、1日100-200の新たなリポジトリが侵害された
• 対策として、拡張機能の自動更新を無効化するか、Aikido Device Protectionのような48時間の待機期間を設ける解決策が提案されている

【まとめ】 VS Code拡張機能の自動更新は重大なセキュリティリスクであり、開発者は自動更新を無効化し手動更新に切り替えるか、更新に待機期間を設ける対策を検討すべきです。