Falhas críticas em extensões do VS Code com 125 milhões de downloads permitem roubo de dados e ataques RCE
- Cyber Security Brazil
- 18 de fev.
- 2 min de leitura
Pesquisadores divulgaram múltiplas vulnerabilidades críticas em quatro extensões populares do Microsoft Visual Studio Code (VS Code) que, se exploradas com sucesso, podem permitir que hackers roubem arquivos locais e executem código remotamente nas máquinas de desenvolvedores.
As extensões afetadas Live Server, Code Runner, Markdown Preview Enhanced e Microsoft Live Preview somam mais de 125 milhões de instalações. Segundo o relatório técnico, basta uma única extensão maliciosa ou apenas uma falha explorável em uma extensão legítima para que um invasor consiga se movimentar lateralmente na rede e comprometer ambientes corporativos inteiros.
As vulnerabilidades identificadas
Entre as falhas descobertas, destacam-se:
CVE-2025-65717 (CVSS 9.1) – Live Server -⚠️ Ainda não corrigida.
Permite a exfiltração de arquivos locais. O ataque ocorre quando o desenvolvedor, com a extensão ativa, visita um site malicioso. Um código JavaScript embutido na página consegue acessar o servidor HTTP local (localhost:5500), vasculhar arquivos e enviá-los para um domínio controlado pelo hacker.
CVE-2025-65716 (CVSS 8.8) – Markdown Preview Enhanced -⚠️ Ainda não corrigida.
Possibilita a execução de JavaScript arbitrário por meio de um arquivo Markdown (.md) malicioso. A exploração pode permitir enumeração de portas locais e exfiltração de dados.
CVE-2025-65715 (CVSS 7.8) – Code Runner -⚠️ Ainda não corrigida.
Permite execução arbitrária de código ao induzir a vítima, via phishing ou engenharia social, a modificar o arquivo “settings.json”.
Uma falha (sem CVE atribuído) possibilitava acesso a arquivos sensíveis da máquina da vítima por meio de requisições JavaScript direcionadas ao localhost. A vulnerabilidade foi corrigida silenciosamente pela Microsoft na versão 0.4.16, lançada em setembro de 2025.
Extensões do VS Code possuem amplo acesso ao sistema operacional, arquivos locais e serviços internos. Quando mal configuradas, excessivamente permissivas ou vulneráveis, podem permitir que hackers executem código, modifiquem arquivos críticos e assumam o controle completo da máquina.
Em ambientes corporativos, o impacto pode ir além do dispositivo individual. Uma máquina comprometida pode servir como ponto de entrada para movimentação lateral, acesso a repositórios internos, segredos de API, credenciais armazenadas localmente e até pipelines de CI/CD.
Recomendações de segurança
Para reduzir os riscos no ambiente de desenvolvimento, especialistas recomendam:
Evitar aplicar configurações não confiáveis;
Desinstalar ou desabilitar extensões desnecessárias;
Manter extensões sempre atualizadas;
Restringir conexões de entrada e saída por meio de firewall;
Desativar serviços locais (localhost) quando não estiverem em uso.
A manutenção de extensões vulneráveis instaladas representa uma ameaça imediata à postura de segurança da organização. Em muitos casos, pode ser necessário apenas um clique em um link malicioso ou a abertura de um repositório comprometido para que o ambiente inteiro seja afetado.
