GitHub.dev OAuth token security risk for developers

📊 競品分析▸ Show

功能/產品	GitHub.dev	GitHub Codespaces	AWS Cloud9 (一般雲端 IDE)
編輯器類型	輕量級網頁編輯器 (VS Code for Web)	雲端託管的完整開發環境 (VS Code)	雲端託管的完整開發環境
執行環境	完全在瀏覽器沙盒中運行，無終端或建置/執行功能	專用虛擬機 (VM)，具備終端、建置與執行功能	虛擬機實例，具備終端、建置與執行功能
OAuth 權杖範圍	廣泛權限，可讀寫使用者所有儲存庫	權杖範圍限於特定儲存庫	通常由雲端供應商管理，需配置安全權限
安全性模型	易受一鍵式權杖竊取攻擊，因權杖範圍廣泛且缺乏 CSRF 保護	每個 Codespace 獨立 VM，權杖範圍限於儲存庫，秘密作為環境變數管理	依賴雲端供應商的安全功能，使用者需負責 VM 配置安全
費用	免費	個人帳戶有免費額度，組織需付費	依雲端資源使用量計費
主要優勢	快速啟動，無需配置，適合快速編輯	提供完整開發環境，環境一致性高，安全性較佳	整合雲端服務，可從任何裝置存取，無需本地設定
主要限制	無法建置/執行程式碼，權杖安全性風險高	需等待環境建立，可能產生費用	依賴網路連線，可能存在客製化限制，需信任雲端供應商

GitHub.dev 作為輕量級網頁版原始碼編輯器，在瀏覽器沙盒中運行，啟動 VS Code 環境。
它利用主 VS Code 視窗與網頁視圖（具有不同來源的 iframe）之間的訊息傳遞機制來渲染 Markdown 預覽或 Jupyter Notebook 等動態內容。
攻擊利用在不受信任的網頁視圖中執行惡意 JavaScript，模擬主編輯器視窗中的按鍵事件。
透過觸發「Ctrl+Shift+P」開啟命令面板，並安裝由攻擊者控制的惡意擴充功能。
惡意擴充功能隨後會提取發送給 GitHub.dev 的 GitHub OAuth 權杖，並查詢 GitHub API 以列舉受害者可存取的所有私有儲存庫。
從 github.com 發送給 github.dev 的 OAuth 權杖並未限定於特定儲存庫，而是賦予使用者可存取的所有儲存庫的完整權限。
GitHub.dev 未實施 CSRF 權杖，這使得任何網路連結都可能將使用者重定向到攻擊流程中。
一般而言，VS Code 擴充功能若非來自受信任的發行者，可能構成安全風險，因為它們可能擁有廣泛的存取權限。

GitHub 可能會為 GitHub.dev 實施更嚴格的權杖範圍限制。

目前廣泛的權杖範圍是主要漏洞，而 GitHub Codespaces 已使用儲存庫專屬權杖，這表明存在可行的解決方案。

開發者將需要對基於瀏覽器的 IDE 和不受信任的連結保持更高的警惕。

此漏洞的一鍵式攻擊性質凸顯了開發者容易受到攻擊的程度，因此需要更好的安全衛生習慣。

Microsoft/GitHub 可能會增強瀏覽器環境中 VS Code 網頁視圖和擴充功能安裝的安全機制。

此次攻擊利用了網頁視圖訊息傳遞和未經信任發行者檢查的擴充功能安裝，這表明了架構改進的潛在領域。

2008-04

GitHub 平台正式推出

2018-06

Microsoft 收購 GitHub

2021-08

GitHub.dev (VS Code for Web) 推出

2022-11

GitHub 推出細粒度個人存取權杖 (PATs)

2026-05

GitHub 證實內部儲存庫因惡意 VS Code 擴充功能而遭入侵 (TeamPCP 攻擊)

2026-06

GitHub.dev 存在一鍵式 OAuth 權杖竊取漏洞被揭露

GitHub.dev OAuth 權杖對開發者造成的安全風險