NewsAgency

VS Code Zero-Day Lets Attackers Steal GitHub OAuth Tokens via github.dev

Properties1
tagsvscode, github, zero-day, oauth, supply-chain

6 dakika okuma süresi

Summary

Security researcher Ammar Askar publicly disclosed a Visual Studio Code zero-day on June 3, 2026, with proof-of-concept exploit code. The flaw abuses VS Code’s sandboxed webview message-passing to install malicious extensions that steal GitHub OAuth tokens passed to github.dev when users click a crafted link. Stolen tokens grant access to all repositories the victim can access, not just the targeted repo. No CVE or patch exists yet; mitigation is clearing github.dev cookies and site data in the browser. Askar chose full public disclosure citing prior negative MSRC experiences.

PreScreening Notes

Score: 9/10 — Critical

Active, unpatched zero-day with public PoC affecting the core developer toolchain (VS Code + GitHub). Stolen OAuth tokens grant broad repository access — high-impact supply-chain risk for software audience. BleepingComputer is a credible security source; disclosure is June 3 (within 48h). No duplicate in pipeline; distinct from Red Hat npm Miasma (different attack vector). Passes all quality gates.

Source Analysis

Verified via Ammar Askar’s blog (June 2 disclosure), BleepingComputer, and SecurityOnline. PoC published on VS Code issue tracker. No CVE assigned; no patch as of evaluation date.

Research Notes

Additional Sources

Key Facts Verified

  • Confirmed: Disclosed June 2; public PoC on VS Code issue tracker
  • Confirmed: One-click token theft via webview message-passing on github.dev
  • Confirmed: No CVE or patch as of analysis date

Active zero-day — verify patch/CVE status at reporting stage

Broader Context

Core developer toolchain risk; mitigation: clear github.dev cookies/site data immediately.

visual-studio-code, github, oauth, supply-chain-attacks, github-security

Draft Article

VS Code Sıfır Gün Açığı: Tek Tıkla GitHub OAuth Token’ı Çalınabiliyor

Güvenlik araştırmacısı Ammar Askar, 2 Haziran 2026’da visual-studio-code tabanlı github.dev editöründe tek tıkla GitHub OAuth token’ı çalınmasına olanak tanıyan bir sıfır gün açığını kamuya açıkladı ve çalışan bir proof-of-concept (PoC) yayınladı. 3 Haziran itibarıyla ne CVE atanmış ne de resmi yama mevcut. Çalınan token, hedeflenen tek repo ile sınırlı değil — kurbanın erişebildiği tüm private repolara tam okuma/yazma yetkisi veriyor.

Ana Gelişme

Açık, github’ın tarayıcı tabanlı github.dev editöründeki webview message-passing mekanizmasını istismar ediyor. Saldırgan, kötü amaçlı bir repository linkine tıklayan kurbanın tarayıcısında çalışan JavaScript ile ana editörde tuş vuruşlarını simüle ederek workspace extension yükleyebiliyor. Yüklenen extension, github.dev’e POST edilen OAuth token’ını okuyup GitHub API üzerinden kurbanın tüm private repolarını listeleyebiliyor.

Askar’ın blog yazısına göre github.com, github.dev’e kullanıcı adına işlem yapabilmesi için geniş kapsamlı bir OAuth token gönderiyor. Bu token, etkileşim kurulan repo ile sınırlandırılmıyor. PoC kodu VS Code issue tracker’da ve araştırmacının blogunda herkese açık.

Bu açık, CVE-2026-41613 (MCP) ile karıştırılmamalı — MCP açığı ayrı bir vektör ve yamalı durumda.

Neden Önemli?

supply-chain-attacks bağlamında bu olay, geliştirici toolchain’inin doğrudan hedef alındığını gösteriyor. Türk yazılım ekiplerinin büyük bölümü github.dev’i hızlı düzenleme için kullanıyor; token ele geçirildiğinde kurumsal kod tabanları, CI secret’ları ve deployment pipeline’ları risk altına giriyor.

Mayıs 2026’daki GitHub çalışan extension ihlalinden farklı olarak bu saldırı, compromise edilmiş bir çalışan hesabı veya npm OIDC pipeline’ı değil — doğrudan VS Code webview sandbox açığını kullanıyor.

Teknik Detaylar

Saldırı vektörü şu adımları izliyor: webview içinde kötü amaçlı JavaScript çalıştırma → sandbox message-passing ile ana editöre keydown event’leri gönderme → extension yükleme dialog’unu otomatik onaylama → ikinci extension ile token exfiltration. github.dev’de CSRF koruması bulunmuyor; daha önce authentication dialog’unu geçmiş kullanıcılar herhangi bir internet linkiyle bu saldırıya maruz kalabiliyor.

Masaüstü visual-studio-code sürümünde de benzer açık mevcut; ancak exploitation için kurbanı belirli bir webview açmaya ikna etmek gerekiyor — github.dev kadar kolay değil.

Bağlam

Askar, tam kamuoyu açıklamasını MSRC ile geçmiş olumsuz deneyimlerini gerekçe göstererek tercih etti. Daha önce bildirdiği bir VS Code açığının sessizce yamalanıp güvenlik etkisi tanınmadan kapatıldığını belirtti. 2 Haziran’da GitHub güvenlik ekibine bir saat önceden haber verdi; ancak niyetinin tam disclosure olduğunu vurguladı.

Microsoft, BleepingComputer’ın sorularına 3 Haziran itibarıyla yanıt vermedi. Nightmare Eclipse takma adlı araştırmacının MSRC sürecine yönelik benzer eleştirileri de son aylarda gündemde.

Sonraki Adımlar

Acil mitigasyon: Tarayıcıda github.dev için çerez ve site verilerini temizleyin. Chrome’da URL çubuğundaki Ayarlar → Cookies and site data → Manage on-device site data yolunu izleyin. Bu, saldırı linklerine tıklandığında “The extension ‘GitHub Repositories’ wants to sign in using GitHub” uyarısının yeniden görünmesini sağlar.

PoC’yi test ettiyseniz, yüklenen extension’ı kaldırın ve site verilerini temizleyin — aksi halde extension tüm github.dev oturumlarınızı takip eder. Microsoft/GitHub yama veya CVE duyurusu için resmi kanalları izleyin.

Kaynaklar

Evaluation Report

News Value Assessment

  • Timeliness: Disclosed June 2–3, 2026; active unpatched vulnerability — immediate publication window.
  • Impact: Affects every developer using github.dev in the browser; stolen tokens grant full repository access across all orgs/repos the victim can reach — severe supply-chain exposure.
  • Prominence: VS Code (Microsoft), GitHub (Microsoft), high-profile researcher Ammar Askar with public PoC.
  • Proximity: Very high — core toolchain for Turkish software developers; github.dev widely used for quick repo edits.
  • Novelty: New attack vector via webview message-passing to install workspace extensions; distinct from May 2026 GitHub employee extension compromise (malicious extension, not zero-day).

Audience Fit

  • Primary audience: Software developers — directly actionable mitigation (clear github.dev site data).
  • Readers will find this immediately relevant and actionable; connects to ongoing supply-chain security concerns in the pipeline.

Risk & Ethics Assessment

  • Verification: Confirmed via researcher blog, BleepingComputer, and independent security coverage. PoC is public — claims are verifiable.
  • Fact-checking: Monitor for Microsoft/GitHub patch or CVE assignment before publication; note disclosure timeline and Askar’s MSRC rationale.
  • Ethics: Responsible to emphasize mitigation steps prominently; avoid sensationalism while conveying severity.

Active zero-day with public exploit code — verify patch/CVE status at reporting stage; mitigation guidance must be current.

Publication Strategy

Suggested Angle

Türk yazılımcılar için acil uyarı: github.dev üzerinde tek tıkla GitHub OAuth token’ı çalınabiliyor — VS Code webview açığı, tüm private repolara erişim riski ve hemen uygulanabilir koruma adımları.

Editorial Notes

Status: Approved — critical security, publish immediately
Format: standard
Angle: Confirmed — acil github.dev OAuth token uyarısı

Headline Suggestions (Turkish)

  • VS Code sıfır gün açığı: Tek tıkla GitHub OAuth token’ı çalınabiliyor
  • github.dev kullanan Türk geliştiricilere acil uyarı: VS Code webview açığı tüm repolara erişim sağlıyor
  • Yama yok, PoC yayında: VS Code–GitHub token hırsızlığı nasıl korunulur?

Key Points (Must Include)

  • Ammar Askar’ın 2 Haziran açıklaması; public PoC; CVE atanmadı, yama yok (3 Haziran doğrulandı)
  • CVE-2026-41613 (MCP) ile karıştırılmamalı — ayrı, yamalı açık
  • Mitigasyon: github.dev çerez ve site verilerini temizleme adımları
  • Çalınan token kapsamı: tüm erişilebilir repolar, tek repo ile sınırlı değil
  • Mayıs 2026 GitHub çalışan extension ihlali ile farkı (saldırı vektörü)

Reporting Instructions

  • Yayın öncesi WebSearch ile Microsoft/GitHub yama veya CVE durumunu doğrula
  • Askar’ın MSRC deneyimi ve tam açıklama kararını dengeli anlat
  • Supply-chain riski vurgusu; sansasyon yerine uygulanabilir koruma öncelikli

Grafik Görünümü