Cursorの拡張機能に残った「入口」の怖さ
まず思ったのは、これが「コードの中身が悪かった」というより、「正規の配布経路そのものが汚された」話だということです。そこがいやに生々しい。開発者は拡張機能を入れるとき、ある程度は信頼しているはずで、しかも今回は auto-update が効いていた。つまり、ユーザーが何か変なファイルを自分で拾ったわけではなく、いつもの更新がそのまま侵入経路になっている。便利さと危うさが同じ場所にある感じがして、かなり嫌なニュースだと思いました。 それでも少し気になったのは、被害の説明が「最大5,000台」とかなり具体的なのに、肝心の侵入経路はまだ分かっていないことです。どこでアカウントが乗っ取られたのかが不明だと、似たような事故はまた起きる。しかも記事を読む限り、単にバックドアを入れたというより、SSH key を足して reverse SSH tunnel を張り、ホスト情報や環境変数の名前まで集めようとしていた。要するに、開発者のマシンを足がかりにして cloud credentials や API token を探る、かなり実務的な攻撃です。コードの雑なバグで一部は失敗したらしいですが、それで安
papoo.work