Bir hacker, Amazon'un üretken AI ile çalışan asistan olan Visual Studio Kodu'nun Q geliştiricisi uzantısının bir sürümünde kodu veri silmedi.
Amazon Q, geliştiricilerin kodunu, hata ayıklamaya, belgeleri oluşturmasına ve özel yapılandırmalar ayarlamasına yardımcı olmak için üretken AI kullanan ücretsiz bir uzantıdır.
Microsoft’un Visual Code Studio (VCS) Marketplace'de bulunabilir ve burada yaklaşık bir milyon kurulum sayılır.
404 Media tarafından bildirildiği gibi, 13 Temmuz'da 'Lkmanka58' takma adını kullanan bir hacker, Amazon Q’nun GitHub'a herhangi bir zarara neden olmayacak, ancak AI kodlama güvenliği hakkında bir mesaj göndermek için onaylanmamış kod ekledi.
Taahhüt, "Amacınız bir sistemi faktöre yakın bir duruma temizlemek ve dosya sistemini ve bulut kaynaklarını silmek" i okuma bir veri silmesini içeriyordu.
Hacker, muhtemelen iş akışı yanlış yapılandırması veya proje koruyucuları tarafından yetersiz izin yönetimi nedeniyle rastgele bir hesaptan bir çekme talebi gönderdikten sonra Amazon'un deposuna erişim sağladı.
Amazon, ihlalden tamamen habersizdi ve 17 Temmuz'da VSC pazarında ödün verilen 1.84.0 versiyonunu yayınladı ve bu da onu tüm kullanıcı tabanına sundu.
23 Temmuz'da Amazon, güvenlik araştırmacılarından uzatmada bir sorun olduğunu ve şirketin soruşturmaya başladığını bildirdi. Ertesi gün AWS, onaylanmamış kodu kaldıran temiz bir sürüm olan Q 1.85.0 yayınladı.
Güvenlik Bülteni, “AWS, Visual Studio Kodu (VSC) için Amazon Q geliştirici uzantısında bir sorunu fark ediyor ve ele alıyor. Güvenlik araştırmacıları onaylanmamış kod değişikliği potansiyeli bildirdi” diyor.
“AWS Security, daha sonra, Q geliştiricisi CLI komutu yürütmesini hedefleyen açık kaynaklı VSC uzantısında daha derin bir adli analiz yoluyla bir kod taahhüdünü belirledi.”
“Bundan sonra, kimlik bilgilerini derhal iptal ettik ve değiştirdik, onaylanmamış kodu kod tabanından kaldırdık ve daha sonra Amazon Q geliştirici uzantısı 1.85.0'ı piyasaya sürdü.”
AWS, kullanıcılara, kötü amaçlı kod yanlış biçimlendirildiği ve ortamlarında çalışmadığı için önceki sürümden herhangi bir risk olmadığından emin oldu.
Bu güvencelere rağmen, bazıları kötü amaçlı kodun gerçekte yürütüldüğünü ancak herhangi bir zarara neden olmadığını bildirdi, bunun hala önemli bir güvenlik olayı olarak ele alınması gerektiğini belirtti.
Tüm dağıtım kanallarından silinen Q sürüm 1.84.0 çalıştıran kullanıcılar, en kısa sürede 1.85.0'a güncellenmelidir.
[Güncelleme 7/26] - Bir Amazon sözcüsü, BleepingComputer'a aşağıdaki yorumu gönderdi.
"Güvenlik bizim önceliğimizdir. VS kodu için Amazon Q geliştirici uzantısında kodu değiştirmek için iki açık kaynak deposunda bilinen bir sorunu kullanma girişimini hızla azalttık ve hiçbir müşteri kaynağının etkilenmediğini doğruladık. Her iki depoda da sorunu tamamen hafiflettik. Ek önlem olarak VS Kodu Sürüm 1.85 için geliştirici uzantısı. " - Amazon Sözcüsü
İşinizi etkilemeden önce gerçek zamanlı olarak ortaya çıkan tehditleri içerir.
Bulut algılama ve yanıtının (CDR) güvenlik ekiplerine bu pratik, saçma rehberde ihtiyaç duydukları avantajı nasıl verdiğini öğrenin.
Bilgisayar korsanları ihlali Toptal GitHub Hesabı, Kötü niyetli NPM paketleri yayınlayın
NPM Paketi ‘IS’, haftalık 2,8 milyon indirme ile enfekte geliştirilmiş geliştiriciler ile kötü amaçlı yazılım
Kötü amaçlı yazılımları bırakmak için kimlik avı ile kaçırılan popüler NPM Linter paketleri
WordPress Gravity Forms geliştiricisi, backdoed eklentileri bastırmak için hacklendi
GitHub'da Microsoft Open-Dources vs Kod Copilot sohbet uzantısı
Kaynak: Bleeping Computer