Η εταιρεία Cursor εντόπισε την προέλευση της παραβίασης ασφαλείας του Οκτωβρίου σε ένα κλειδί πρόσβασης που εκτέθηκε από την Fireworks AI.
Ο επιτιθέμενος χρησιμοποίησε αυτό το κλειδί για να υποκλέψει ιστορικά αρχεία πρακτόρων προγραμματισμού, να εντοπίσει επιπλέον διαπιστευτήρια και τελικά να τοποθετήσει παραβιασμένες επεκτάσεις Claude Code στην προσωρινή μνήμη της αγοράς της Cursor.
Η ενημέρωση της 13ης Νοεμβρίου συνδέει την έκθεση του προμηθευτή με τα κακόβουλα πακέτα που ανακαλύφθηκαν στις 29 Οκτωβρίου. Το κλεμμένο κλειδί παρείχε πρόσβαση ανάγνωσης σε έναν κοινόχρηστο χώρο αποθήκευσης που περιείχε περιορισμένα ίχνη συνεδριών εκτός της λειτουργίας απορρήτου, όπου ορισμένα αρχεία διατηρούσαν διαπιστευτήρια που δεν είχαν αφαιρεθεί.
Πώς λειτούργησε η κερκόπορτα στο Claude Code
Χρησιμοποιώντας στοιχεία από αυτά τα αρχεία, ο εισβολέας απέκτησε πρόσβαση σε επιλεγμένες υπηρεσίες λογισμικού, συμπεριλαμβανομένων αρχειοθετημένων αποθετηρίων πηγαίου κώδικα και περιορισμένων αρχείων υποστήριξης.
Στις 29 Οκτωβρίου, ένα κλεμμένο διαπιστευτήριο επέτρεψε την τοποθέτηση τροποποιημένων πακέτων απευθείας στην προσωρινή μνήμη της αγοράς επεκτάσεων της Cursor. Η εταιρεία διευκρίνισε ότι η Anthropic δε δημοσίευσε τα πακέτα και το προϊόν της δεν ήταν ευάλωτο. Σύμφωνα με την ενημέρωση, το πολύ 5.000 χρήστες που ζήτησαν συγκεκριμένες εκδόσεις για Windows και macOS ενδέχεται να έλαβαν τις κακόβουλες εκδόσεις μέσα σε διάστημα περίπου 11 ωρών.
Ο κακόβουλος κώδικας JavaScript εκτελούνταν κατά τη φόρτωση της επέκτασης, συνέλεγε στοιχεία του συστήματος, πρόσθετε ένα κλειδί SSH και επιχειρούσε απομακρυσμένη σύνδεση, αν και σφάλματα κώδικα και η έλλειψη δικαιωμάτων διαχειριστή απέτρεψαν την απομακρυσμένη πρόσβαση στα περισσότερα συστήματα.
Οι ευρύτερες επιπτώσεις της παραβίασης στη Fireworks AI
Η αναφορά παραβίασης της Fireworks AI κάλυψε ευρύτερη έκθεση που αφορούσε αρχεία λογαριασμών και χρεώσεων, επιλεγμένα σύνολα δεδομένων και ελλιπή βάρη μοντέλων, ενώ ξεχωριστές επιπτώσεις ανέφεραν επίσης οι εταιρείες Notion και Uber. Η Cursor μετέφερε την κίνησή της μακριά από τη Fireworks, ανακάλεσε την πρόσβαση του προμηθευτή, ανανέωσε τα εσωτερικά διαπιστευτήρια και ανακατασκεύασε την αγορά επεκτάσεων.
Η εταιρεία εκτιμά ότι το περιστατικό έχει περιοριστεί, τονίζοντας ότι τα αποθετήρια κώδικα πελατών και οι επίσημες ενημερώσεις δεν επηρεάστηκαν. Οι επηρεαζόμενοι προγραμματιστές καλούνται να ακολουθήσουν τις οδηγίες καθαρισμού, καθώς η απλή αφαίρεση της επέκτασης ενδέχεται να αφήσει πίσω κλειδιά SSH και σενάρια εκκίνησης.