🛡️ Extension ไม่ควรได้สิทธิ์แตะ Filesystem เกินกว่าที่จำเป็น…

🛡️ Extension ไม่ควรได้สิทธิ์แตะ Filesystem เกินกว่าที่จำเป็น — Zed v1.16.2 ออกมาแก้ potential filesystem sandbox escape เมื่อรัน Extensions

นี่ไม่ใช่ Feature ที่ดูหวือหวา แต่เป็น Reliability และ Security boundary ที่สำคัญมากสำหรับ Editor ซึ่งเปิดให้ Extension ทำงานใกล้กับโปรเจกต์และเครื่องของ Developer

Release นี้มีประเด็นหลัก 4 จุด:

• แก้ potential filesystem sandbox escape ในการรัน Extensions
• แก้ GitHub Copilot Chat authentication และ API routing สำหรับ GitHub Enterprise Cloud
• แก้กรณี project-level language-server settings ถูกเมินโดย Extension API รุ่นเก่า
• แก้ Flatpak CLI ที่อาจเปิดไฟล์ผิดจากปัญหาการประกอบ Arguments

มุมที่ควรสนใจคือคำว่า “sandbox escape” ไม่ได้แปลว่าเกิดการโจมตีแล้ว แต่หมายถึงการปิดเส้นทางที่อาจทำให้ขอบเขตการเข้าถึง Filesystem ของ Extension ไม่เป็นไปตามที่คาดไว้ ทีมที่ใช้ Editor พร้อม Extensions จำนวนมากจึงควรคิดเรื่องนี้เหมือน Dependency Patch ไม่ใช่แค่การอัปเดต UI

ในทางปฏิบัติ ควรอัปเดต Zed แล้วทดสอบ Extension ที่เกี่ยวกับ File I/O, Language Server และ Copilot บน Project สำคัญอีกครั้ง โดยเฉพาะเครื่องที่ใช้ Workspace หลายชุดหรือมี Enterprise routing เฉพาะ

เหมาะกับ Developer และทีมที่ใช้ Zed เป็นประจำ ส่วนข้อจำกัดคือ Release Note ระบุว่าเป็น “potential” escape และไม่ได้ให้รายละเอียด Threat Model หรือ Reproduction steps ดังนั้นอย่าอนุมานระดับความรุนแรงเกินข้อมูลที่มี ให้ดูเป็น Security maintenance ที่ควรรีบติดตาม

ลิงก์อยู่ในคอมเมนต์แรก

คุณตรวจ Extension permissions และ File access ใน Developer Workflow ครั้งล่าสุดเมื่อไหร่? ติดตาม SynapTech AI สำหรับมุม Code Review Graph ที่เอาไปใช้กับงานจริงได้

#Zed #DeveloperTools #ApplicationSecurity #OpenSource #SynapTechAI

---

📖 อ่านบทความเต็มบน Facebook | 🔔 ติดตาม SynapTech