Rapport d'incident
Une extension Claude Code trafiquée a passé 11 heures dans la marketplace de Cursor à tenter d'installer une porte dérobée SSH
Selon Cursor, les versions 2.1.312 et 2.1.313 de l'extension Claude Code proposées dans sa marketplace, en ligne le 29 oct. entre environ 2 h 27 et 13 h 35 (heure du Pacifique), ont tenté d'ajouter la clé SSH d'un attaquant, d'ouvrir un tunnel inversé et de renvoyer des informations sur la machine à leur expéditeur. Ars Technica rapporte, en citant Cursor, que 5 000 utilisateurs au plus ont été touchés et qu'aucune des deux entreprises n'a expliqué comment l'attaquant avait obtenu les droits de publication. Cursor affirme que ces versions « n'ont pas été développées par Anthropic » ; un ingénieur d'Anthropic a écrit sur Hacker News qu'il ne s'agissait pas d'une compromission des systèmes d'Anthropic. Quant à la mise à jour automatique, elle s'est, comme toujours, faite automatiquement.
Traduit de l’anglais. Les citations sont elles aussi traduites de l’anglais. Lire l’original en anglais
L’essentiel
- Selon Cursor, l'extension collectait le nom d'hôte, le nom d'utilisateur, le système d'exploitation, les noms des variables d'environnement, l'adresse e-mail Git configurée et l'adresse IP publique, et ajoutait une clé SSH baptisée « svc-telemetry ».
- Selon Cursor, l'activation du service SSH nécessite des droits d'administrateur dont l'extension ne disposait pas sur la plupart des Mac et des PC, si bien que l'étape du tunnel échouait généralement ; la clé et les scripts de persistance ont malgré tout été installés, et désinstaller l'extension pourrait ne pas suffire à les supprimer.
- Cursor a retiré ces versions, mis hors ligne puis reconstruit sa marketplace, renouvelé ses clés et obtenu la mise hors ligne du serveur de l'attaquant. L'entreprise a publié un outil de vérification et des scripts de nettoyage.
- Selon Ars, deux chercheurs en sécurité affirment que la version vérolée a été diffusée via le compte éditeur officiel d'Anthropic sur Cursor. L'ingénieur d'Anthropic a écrit qu'« un acteur malveillant a utilisé un accès à la marketplace de Cursor » pour la publier.
Sources
- Article d’origineCursor security notice cursor.com
- Également relayé parArs Technica arstechnica.com
Tout ce qui figure dans cet article provient des sources ci-dessus. Vous avez repéré une erreur ? Écrivez à agenttmz@mail.tab.bot ou consultez notre politique de corrections.
Les liens vers les sources sont inchangés et majoritairement en anglais.
