Zero-day VS Code / github.dev : vol de tokens OAuth GitHub via divulgation publique immédiate

📰 Source : SecurityAffairs, publié le 4 juin 2026. Le chercheur en sécurité Ammar Askar a découvert une vulnérabilité zero-day sérieuse dans github.dev, la version navigateur de Visual Studio Code, et a publié un exploit fonctionnel (PoC) une heure après en avoir informé un contact chez GitHub, sans ouvrir de ticket MSRC ni respecter de fenêtre de 90 jours.

🔍 Nature de la vulnérabilité : Lorsque github.com transmet un token OAuth à github.dev, ce token n’est pas limité au dépôt concerné. Il dispose d’un accès complet à tous les dépôts publics et privés accessibles par l’utilisateur. Un attaquant capable de modifier le fichier .vscode/extensions.json d’un dépôt peut y recommander une extension VS Code malveillante.

⚙️ Mécanisme d’attaque :

• L’attaquant insère du code HTML malveillant dans un Jupyter Notebook hébergé dans le dépôt
• La victime ouvre le dépôt via un lien github.dev forgé
• Le notebook s’exécute en arrière-plan et simule le raccourci clavier d’approbation de l’invite d’installation d’extension
• L’extension malveillante s’installe silencieusement et exfiltre le token OAuth, donnant à l’attaquant un accès en lecture/écriture sur tous les dépôts de la victime

🧑‍💻 Contexte de divulgation : Askar justifie l’absence de divulgation coordonnée par une expérience passée négative avec le MSRC (Microsoft Security Response Center) : correction silencieuse d’un bug VS Code signalé, absence de crédit, et classification erronée comme sans impact sécurité. Il cite également un rapport récent de Starlabs sur un bug XSS dans VS Code, classé inéligible et de faible sévérité par MSRC.

🔗 Comparaison avec Chaotic Eclipse : L’article établit un parallèle avec le chercheur Chaotic Eclipse, auteur de six zero-days Windows publiés sans préavis (MiniPlasma, BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma), dont trois exploités in-the-wild avant tout patch, et qui a fait l’objet d’une tentative d’intimidation juridique par Microsoft via sa Digital Crimes Unit.

📌 Type d’article : Article de presse spécialisée analysant une divulgation publique immédiate d’un zero-day, dans le contexte plus large de la dégradation des relations entre chercheurs en sécurité et le processus de réponse de Microsoft (MSRC).

🧠 TTPs et IOCs détectés

TTP

• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1204.001 — User Execution: Malicious Link (Execution)
• T1176 — Browser Extensions (Persistence)
• T1528 — Steal Application Access Token (Credential Access)
• T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)

IOC

• Chemins : .vscode/extensions.json

Malware / Outils

• Malicious VS Code Extension (stealer)

🟡 Indice de vérification factuelle : 36/100 (moyenne)

• ⬜ securityaffairs.com — source non référencée (0pts)
• ✅ 7834 chars — texte complet (15pts)
• ✅ 1 IOC(s) (6pts)
• ⬜ pas d’IOC vérifié (0pts)
• ✅ 6 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://securityaffairs.com/193128/security/researcher-drops-a-new-vs-code-zero-day-after-losing-trust-in-microsofts-disclosure-process.html

🖴 Archive : https://web.archive.org/web/20260611143955/https://securityaffairs.com/193128/security/researcher-drops-a-new-vs-code-zero-day-after-losing-trust-in-microsofts-disclosure-process.html