Los investigadores de ciberseguridad han revelado una vulnerabilidad crítica en el registro Open VSX («Open-VSX (.) Org») que, si se explotan con éxito, podría haber permitido a los atacantes tomar el control de todo el mercado de extensiones de código de Visual Studio, planteando un riesgo grave de la cadena de suministro.
«Esta vulnerabilidad proporciona a los atacantes control total sobre todo el mercado de extensiones y, a su vez, el control total sobre millones de máquinas de desarrolladores», dijo el investigador de seguridad de KOI, Oren Yomtov. «Al explotar un problema de CI, un actor malicioso podría publicar actualizaciones maliciosas en cada extensión en Open VSX».
Después de la divulgación responsable el 4 de mayo de 2025, los mantenedores propusieron las múltiples rondas de soluciones, antes de que finalmente se despliegue el 25 de junio.
Open VSX Registry es un proyecto de código abierto y una alternativa al mercado de Visual Studio. Es mantenido por la Fundación Eclipse. Varios editores de código como Cursor, Windsurf, Google Cloud Shell Editor, GitPod y otros lo integran en sus servicios.
«Esta adopción generalizada significa que un compromiso de Open VSX es un escenario de pesadilla de cadena de suministro», dijo Yomtov. «Cada vez que se instala una extensión, o una actualización de extensión obtenida en silencio en segundo plano, estas acciones pasan por Open VSX».
La vulnerabilidad descubierta por KOI Security está enraizada en el repositorio de extensiones de publicación, que incluye scripts para publicar extensiones de código abiertos vs a Open-vsx.org.
Los desarrolladores pueden solicitar que su extensión se publique automáticamente enviando una solicitud de extracción para agregarla al archivo Extensions.json presente en el repositorio, después de lo cual está aprobado y fusionado.
En el backend, esto se desarrolla en forma de un flujo de trabajo de acciones de GitHub que se ejecuta diariamente a las 03:03 a.m. UTC que toma como una lista de extensiones separadas por comas del archivo JSON y las publica en el registro utilizando el paquete VSCE NPM.
«Este flujo de trabajo se ejecuta con credenciales privilegiadas que incluyen un token secreto (OVSX_PAT) de la cuenta de servicio @Open-VSX que tiene el poder de publicar (o sobrescribir) cualquier extensión en el mercado», dijo Yomtov. «En teoría, solo el código de confianza debería ver esa ficha».
«La raíz de la vulnerabilidad es que la instalación de NPM ejecuta los scripts de compilación arbitrarios de todas las extensiones automáticas y sus dependencias, al tiempo que les proporciona acceso a la variable de entorno OVSX_PAT».
Esto significa que es posible obtener acceso al token de la cuenta de @Open-VSX, permitiendo el acceso privilegiado al registro Open VSX y proporcionar a un atacante la capacidad de publicar nuevas extensiones y manipular las existentes para insertar código malicioso.
El riesgo planteado por las extensiones no ha pasado desapercibido por Miter, que ha introducido una nueva técnica de «extensiones IDE» en su marco ATT & CK a partir de abril de 2025, afirmando que podría ser abusado de actores maliciosos para establecer un acceso persistente a los sistemas de víctimas.
«Cada artículo del mercado es una posible puerta trasera», dijo Yomtov. «Son dependencias de software sin veteranos con acceso privilegiado, y merecen la misma diligencia que cualquier paquete de PYPI, NPM, Hugginface o GitHub. Si no se controlan, crean una cadena de suministro en expansión e invisible que los atacantes están cada vez más explotadores».