Hackere scanner offentligt eksponerede Vite-udviklingsservere for at stjæle loginoplysninger og konfigurationsdata fra AWS- og Microsoft Azure-miljøer. Kampagnen udnytter en alvorlig sårbarhed, der gør det muligt for angribere at få adgang til filer uden godkendelse.
Forskere registrerede mere end 800 angreb i løbet af en måned. Hackerne søgte efter miljøfiler, cloud-adgangstokens, Terraform-data og andre følsomme oplysninger.
Hackere udnytter Vite-sårbarhed
Vite-serverangrebene udnytter CVE-2026-39364, en alvorlig sårbarhed i forbindelse med filadgang. Den påvirker Vite-versionerne 7.1.0 til 7.3.2. Den påvirker også udgivelser i 8.x-grenen før version 8.0.5.
Sikkerhedsforskere offentliggjorde sårbarheden den 7. april. Den gør det muligt for en ikke-godkendt angriber at manipulere forespørgselsparametre i en HTTP GET-anmodning.
Som følge heraf kan den sårbare server returnere filer, som dens sikkerhedskontroller normalt burde beskytte. Angribere kan hente disse oplysninger i klartekst uden gyldige loginoplysninger.
Visse parametre får serveren til at springe filtreringen baseret på dens blokeringsliste over. I stedet for at afvise anmodningen svarer den med den ønskede fil og HTTP-statuskode 200.
Kampagnen genererer tusindvis af hændelser
Teknologivirksomheden F5 opdagede kampagnen gennem sine honeypot-sensorer. Dens forskere registrerede mere end 800 angreb og omkring 32.000 rå hændelser inden for en måned.
Aktiviteten ser ud til at være en del af en omfattende scanningsoperation. Angriberne søger på internettet efter eksponerede Vite-servere i stedet for at fokusere på enkelte organisationer.
Det meste af den ondsindede trafik stammede fra USA, Belgien og Nederlandene. Derudover brugte angriberne IP-adresser, der er forbundet med Google Cloud-infrastruktur. Denne tilgang kan hjælpe dem med at skjule deres oprindelse eller undgå grundlæggende filtreringssystemer.
De tre mest aktive adresser var 34.14.15[.]105, 34.16.200[.]129 og 34.11.196[.]206.
Angribere søger efter cloud-loginoplysninger
Efter at have fundet en sårbar server brugte hackerne omfattende ordlister til at anmode om værdifulde filer. Deres primære mål omfattede miljøfiler som .env, .env.production og .env.local.
Disse filer indeholder ofte databaseadgangskoder, applikationshemmeligheder og API-nøgler. Derfor kan eksponering af én fil give en angriber adgang til flere forbundne tjenester.
Kampagnen søgte også i flere hjemmemapper efter AWS-loginoplysninger. Derudover forsøgte hackerne at hente AWS-konfigurationsfiler, sikkerhedskopier og andre lagrede godkendelsesdata.
Azure-loginoplysninger og adgangstokens var et andet vigtigt mål. Angriberne ledte også efter Terraform-tilstands- og variabelfiler, som kan afsløre følsomme oplysninger om cloud-infrastruktur.
Andre mål omfattede serverløse konfigurationsfiler og systemmiljødata. Scannerne anmodede om oplysninger fra Linux-procesmapper og forsøgte at få adgang til systemets adgangskodefil.
Hvis operationen lykkes, kan den give angriberne tilstrækkelige oplysninger til at kompromittere cloud-miljøer. Stjålne loginoplysninger kan give dem mulighed for at få adgang til lagrede data, implementere ressourcer eller bevæge sig længere ind i en organisations infrastruktur.
Scannere bruger teknikker til at undgå opdagelse
Angriberne testede flere traversal- og kodningsvarianter, mens de anmodede om filer. Disse omfattede dobbeltkodede traversal-sekvenser, der er designet til at skjule den endelige destination for en anmodning.
Sådanne teknikker kan omgå reverse proxy-servere eller webapplikationsfirewalls, der ikke normaliserer anmodninger korrekt. Derfor kan et sikkerhedsværktøj godkende en anmodning, før serveren afkoder dens ondsindede indhold.
De mest aktive scanningsadresser var også rettet mod tre andre sårbarheder i Vites adgangskontrol. Disse sårbarheder omfatter CVE-2025-30208, CVE-2025-31125 og CVE-2024-45811.
Myndigheder har tidligere identificeret CVE-2025-31125 som en aktivt udnyttet sårbarhed. Derfor kan forældede servere fortsat være eksponeret gennem flere angrebsveje.
Hvorfor Vite-servere bliver eksponeret
Vite binder normalt sin udviklingsserver til localhost. Denne standardindstilling forhindrer eksterne brugere i at få adgang til den via internettet.
Udviklere kan dog eksponere serveren ved at bruge indstillingen --host eller ændre indstillingen server.host. Forkerte Docker-porttilknytninger kan også gøre en udviklingsinstans offentligt tilgængelig.
Udviklingsservere kan indeholde loginoplysninger og konfigurationsdata, som produktionssystemer har brug for. Alligevel mangler de ofte de stærkere sikkerhedskontroller, der anvendes på offentligt eksponeret infrastruktur.
Derfor kan en enkelt konfigurationsfejl eksponere både serveren og de hemmeligheder, der er gemt i dens miljø.
Sådan kan udviklere beskytte Vite
F5 anbefaler at opdatere Vite til den seneste tilgængelige version. De aktuelle udgivelser indeholder rettelser til de sårbarheder, der blev brugt under kampagnen.
Administratorer bør også forhindre offentlig adgang til port 5173, som Vite ofte bruger. Derudover kan sikkerhedsteams blokere mistænkelige anmodninger rettet mod /@fs/-stien.
Udviklere bør ikke stole på crawler User-Agent-strenge som bevis på, at en anmodning er harmløs. Angribere kan nemt kopiere eller ændre disse identifikatorer.
Organisationer kan også blokere de tre mest aktive IP-adresser, der blev identificeret under kampagnen. Blokering af adresser alene vil dog ikke forhindre angribere i at skifte til ny cloud-infrastruktur.
Endelig bør organisationer, der har eksponeret en ikke-patchet Vite-server, betragte tilgængelige hemmeligheder som kompromitterede. De bør rotere alle loginoplysninger, tokens og nøgler, som det sårbare system kunne få adgang til.
0 svar til “Vite-serverangreb er rettet mod AWS- og Azure-hemmeligheder”