GitHub, 악성 VSCode 확장을 통한 3,800개 저장소 침해 확인

Context

Electron 기반의 VSCode 아키텍처가 갖는 샌드박싱의 한계와 확장 프로그램의 과도한 권한 허용 구조를 분석. 신뢰되지 않은 Third-party 확장이 자동 업데이트 기능을 통해 호스트 시스템 및 연결된 내부 인프라에 직접 접근 가능한 취약한 공급망 구조를 보유함.

Technical Solution

• Electron의 SUID Sandbox Helper 구조로 인한 리눅스 환경 내 샌드박싱 구현의 기술적 난제 해결 필요
• 명시적 Permission System 도입을 통한 확장 프로그램의 시스템 리소스 접근 제어 설계
• 루트 권한 없는 네임스페이스를 활용한 Podman 방식의 격리 모델 검토를 통한 런타임 보안 강화
• 내부 승인 저장소(Private Registry) 기반의 패키지 및 플러그인 설치 화이트리스트 체계 구축
• Dev Container 보안 모델 개선을 통한 개발 환경과 호스트 시스템 간의 논리적 격리 수준 상향