Event-Stream 包安全更新

Name: Visual Studio Code
Author: Microsoft

更新日期：2019 年 6 月 23 日

我們一直在與擴充套件作者合作，以更新他們的擴充套件和依賴項。

以下是當前被阻止的擴充套件列表

JacobeanResearchandDevelopmentLLC.vscode-scxml-preview
joaquin6.package-watch
KazuoCode.gthubsum
MaxGotovkin.tslens

2018 年 11 月 26 日 Kai Maetzel, @kaimaetzel

您可能已經聽說流行的 event-stream NPM 包包含一個惡意依賴項。詳細資訊可以在以下 GitHub issue 中找到：https://github.com/dominictarr/event-stream/issues/116。此漏洞已存在約兩個月，但最近才被發現。

總結：Visual Studio Code 不受行業範圍的 NPM event-stream 包安全問題影響，我們已透過暫時從 VS Code Marketplace 中移除受此包影響的擴充套件來主動保護我們的使用者群。

我們立即檢查了我們是否以及如何受到影響。首先，我們掃描了 Visual Studio Code。Visual Studio Code 的兩個產品安裝（穩定版和內部版）都是安全的。

其次，我們掃描了 VS Code Marketplace 中的所有擴充套件。我們識別出幾個受影響的擴充套件。我們決定採取積極行動，以保護我們的使用者以及這些擴充套件的作者，並自動解除安裝這些擴充套件。使用者無需採取任何操作來移除這些擴充套件。這些擴充套件也將從 Marketplace 中下架。

掃描時，以下擴充套件包含惡意程式碼

aoisupersix.bve5-language-support
apollographql.vscode-apollo
ardenivanov.svelte-intellisense
ballerina.ballerina
BattleBas.kivy-vscode
cesium.gltf-vscode
christianvoigt.argdown-vscode
codemooseus.vscode-devtools-for-chrome
curlybracket.vlocode
ivory-lab.jenkinsfile-support
JacobeanResearchandDevelopmentLLC.vscode-scxml-preview
joe-re.sql-language-server
jomiller.rtags-client
jorithvdheuvel.webdav
KazuoCode.gthubsum
kddejong.vscode-cfn-lint
Koihik.vscode-lua-format
myxvisual.vscode-ts-uml
OptimaSystems.vscode-apl-language-client
Paul-Ehigie-Paul.nativescript-extend
qoretechnologies.qorus-vscode
quantum.quantum-devkit-vscode
ritwickdey.LiveServer
rkoubou.ksp
roboceo.robojsx-plugin
salbert.comment-ts
SiteGo.spgo
terminus.tangram-vscode-plugin
tintrinh.php-refactor
tomoki1207.pdf
vlopes11.advpls-client
webhint.vscode-webhint
wix.stylable-intelligence
Yseop.vscode-yseopml
zfzackfrost.commentbars
Zowe.vscode-extension-for-zowe

我們正在通知這些擴充套件的作者。一旦作者更新了他們的擴充套件並收到我們的通知，我們將驗證更新。然後您將能夠從 Marketplace 重新安裝該擴充套件。

致擴充套件作者的說明：當您使用 yeoman 程式碼生成器生成擴充套件時，您可能已經將惡意程式碼作為開發依賴項的一部分安裝。刪除您的 node_modules 資料夾，使用 npm cache clean --force 清理您的 npm 快取，然後重新執行 npm install。

擴充套件作者需要將 vscode 模組更新到 1.1.22。

我們將隨時向您釋出最新訊息。

Kai Maetzel (Microsoft)