Open VSX 버그로 VS Code 확장 보안 검증 우회 악성코드 확산

오픈 소스 VS Code 확장 레지스트리 Open VSX의 보안 버그가 사전 발행 검사를 우회하며 개발자 대상 악성 확산을 허용하고 있습니다.

• Open VSX Registry의 취약점이 악성 VS Code 확장 프로그램의 보안 검증을 무효화하며 수백만 개발자 워크스테이션에 멀웨어 침투를 초래합니다.
• 공격자들은 위장된 확장으로 소스코드 탈취와 백도어 설치를 시도하며 GitHub 및 기업 개발 환경을 노립니다.
• 이번 버그는 오픈 소스 생태계의 신뢰 모델 붕괴를 드러내며 EU의 오픈소스 보안 지침과 미국의 SBOM 의무화 정책에 영향을 줍니다.
• 운영진은 다중 서명 검증과 AI 기반 이상 징후 탐지를 도입하며 사용자에게 확장 출처 확인을 권고합니다.
• 이 사태는 소프트웨어 개발 공급망의 취약성을 강조하며 한국의 공공 SW 개발 시 국제 보안 인증 도입을 촉구합니다.

이번 사건은 개발자 도구 보안 붕괴라는 점에서 주목할 필요가 있다. 단기적으로는 VS Code 확장 감사, 중장기적으로는 오픈소스 보안 프레임워크 대응이 필요하다.

출처: The Hacker News