Anthropic’ning Cursor’dagi rasmiy kengaytmasi 12 soat davomida zararli kod bilan tarqatildi
Anthropic kompaniyasining Cursor dasturlash muhiti marketpleysidagi rasmiy VS Code kengaytmasi ta'minot zanjiri hujumiga uchrab, deyarli 12 soat davomida zararli kod bilan tarqatildi. Zararlangan 2.1.313 versiyasi avtomatik yoki qo'lda o'rnatish orqali 5 000 nafargacha dasturchi qurilmasiga yetib borgan bo'lishi mumkin. Xavfli kod tizimda doimiy SSH bekdor o'rnatish, maxfiy kalitlar va API tokenlarni o'g'irlash hamda mahalliy manba kodlariga kirishga uringan. Cursor tahdidni bartaraf etib, xavfsiz 2.1.314 versiyasini chiqardi, biroq Anthropic hozircha hodisa yuzasidan o'z foydalanuvchilarini rasman ogohlantirmagan.
Anthropic kompaniyasining Claude sun'iy intellekt modeli uchun mo'ljallangan rasmiy VS Code kengaytmasi ta'minot zanjiri hujumiga (supply-chain compromise) uchradi. Cursor AI dasturlash muhiti marketpleysi orqali tarqatilgan 2.1.313 versiyali zararli kengaytma qariyb 12 soat davomida erkin yuklab olish uchun ochiq turgan. Mutaxassislarning xabar berishicha, ushbu vaqt oralig'ida zararli paket 5 000 tagacha dasturchining kompyuteriga o'rnatilgan bo'lishi mumkin.
Xavfsizlik tadqiqotchilarining aniqlashicha, zararli kod Anthropic kompaniyasining Cursor'dagi rasmiy akkaunti orqali to'g'ridan-to'g'ri joylashtirilgan. Kengaytmalar Cursor muhitida odatda sukut bo'yicha avtomatik tarzda yangilangani sababli, ko'plab foydalanuvchilar zararlangan versiyani bilmagan holda qabul qilib olishgan. Hozircha tajovuzkorlar Anthropic rasmiy hisobiga qanday qilib kirish huquqini qo'lga kiritgani noma'lumligicha qolmoqda.
Cursor ma'lumotlariga ko'ra, zararli dastur Windows, macOS va Linux tizimlarida teskari SSH tunnel ochish orqali doimiy bekdor o'rnatishga harakat qilgan. Dasturlash muhiti (IDE) ruxsatlari bilan ishlaydigan ushbu kengaytma mahalliy fayllar, manba kodlari hamda bulutli xizmatlarning API tokenlari va o'zgaruvchilarini o'g'irlash imkoniyatiga ega bo'lgan. Biroq kod ichidagi ayrim xatoliklar tufayli bekdor barcha tizimlarda ham to'liq ishga tushmagan.
Voqea aniqlangach, Cursor zararli versiyani marketpleysdan olib tashladi va serverlar aloqasini uzish choralarini ko'rdi, shuningdek yangilangan 2.1.314 xavfsiz versiyasi chiqarildi. Kompaniya xavfsizlik tekshiruvlarini o'tkazib, kalitlarni yangilagan. Shunga qaramay, Anthropic hozircha ushbu hodisa yuzasidan o'z mijozlariga rasmiy ogohlantirish bermagan.
Cursor yoki VS Code tizimlarida Anthropic kengaytmasidan foydalanayotgan dasturchilar uning 2.1.314 yoki undan yuqori versiyada ekanligini tekshirishlari, shuningdek, shubhali SSH kalitlarini tozalab, API tokenlarini zudlik bilan almashtirishlari lozim.
PDF, DOCX yoki boshqa hujjatni shunchaki qisqartirish emas, balki mezonlar bo'yicha tahlil qilish va dalil bilan tekshirish usuli.