Vite-Server-Angriffe zielen auf AWS- und Azure-Geheimnisse ab

Hacker scannen öffentlich zugängliche Vite-Entwicklungsserver, um Anmeldedaten und Konfigurationsdaten aus AWS- und Microsoft-Azure-Umgebungen zu stehlen. Die Kampagne nutzt eine schwerwiegende Schwachstelle aus, die es Angreifern ermöglicht, ohne Authentifizierung auf Dateien zuzugreifen.

Forscher registrierten innerhalb eines Monats mehr als 800 Angriffe. Die Hacker suchten nach Umgebungsdateien, Cloud-Zugriffstoken, Terraform-Daten und anderen sensiblen Informationen.

Hacker nutzen Vite-Schwachstelle aus

Die Vite-Server-Angriffe nutzen CVE-2026-39364 aus, eine schwerwiegende Schwachstelle beim Dateizugriff. Sie betrifft die Vite-Versionen 7.1.0 bis 7.3.2. Außerdem sind Versionen des 8.x-Zweigs vor Version 8.0.5 betroffen.

Sicherheitsforscher veröffentlichten die Schwachstelle am 7. April. Sie ermöglicht es einem nicht authentifizierten Angreifer, Abfrageparameter in einer HTTP-GET-Anfrage zu manipulieren.

Dadurch kann der anfällige Server Dateien zurückgeben, die normalerweise durch seine Sicherheitskontrollen geschützt sein sollten. Angreifer können diese Informationen ohne gültige Anmeldedaten im Klartext abrufen.

Bestimmte Parameter führen dazu, dass der Server die Filterung anhand seiner Sperrliste überspringt. Anstatt die Anfrage abzulehnen, antwortet er mit der angeforderten Datei und dem HTTP-Statuscode 200.

Kampagne erzeugt Tausende von Ereignissen

Das Technologieunternehmen F5 entdeckte die Kampagne über seine Honeypot-Sensoren. Seine Forscher registrierten innerhalb eines Monats mehr als 800 Angriffe und rund 32.000 Rohereignisse.

Die Aktivität scheint Teil einer breit angelegten Scan-Operation zu sein. Die Angreifer durchsuchen das Internet nach exponierten Vite-Servern, anstatt sich auf einzelne Organisationen zu konzentrieren.

Der größte Teil des schädlichen Datenverkehrs stammte aus den USA, Belgien und den Niederlanden. Darüber hinaus nutzten die Angreifer IP-Adressen, die mit der Google-Cloud-Infrastruktur verbunden sind. Dieser Ansatz kann ihnen dabei helfen, ihre Herkunft zu verschleiern oder grundlegende Filtersysteme zu umgehen.

Die drei aktivsten Adressen waren 34.14.15[.]105, 34.16.200[.]129 und 34.11.196[.]206.

Angreifer suchen nach Cloud-Anmeldedaten

Nachdem die Hacker einen anfälligen Server gefunden hatten, verwendeten sie umfangreiche Wortlisten, um wertvolle Dateien anzufordern. Zu ihren wichtigsten Zielen gehörten Umgebungsdateien wie .env, .env.production und .env.local.

Diese Dateien enthalten häufig Datenbankpasswörter, Anwendungsgeheimnisse und API-Schlüssel. Daher könnte die Offenlegung einer einzigen Datei einem Angreifer Zugriff auf mehrere verbundene Dienste ermöglichen.

Die Kampagne durchsuchte außerdem mehrere Home-Verzeichnisse nach AWS-Anmeldedaten. Darüber hinaus versuchten die Hacker, AWS-Konfigurationsdateien, Backups und andere gespeicherte Authentifizierungsdaten abzurufen.

Azure-Anmeldedaten und Zugriffstoken waren ein weiteres wichtiges Ziel. Die Angreifer suchten auch nach Terraform-Status- und Variablendateien, die sensible Details über die Cloud-Infrastruktur offenlegen können.

Weitere Ziele waren serverlose Konfigurationsdateien und Systemumgebungsdaten. Die Scanner forderten Informationen aus Linux-Prozessverzeichnissen an und versuchten, auf die Passwortdatei des Systems zuzugreifen.

Bei Erfolg könnte die Operation den Angreifern genügend Informationen liefern, um Cloud-Umgebungen zu kompromittieren. Gestohlene Anmeldedaten könnten es ihnen ermöglichen, auf gespeicherte Daten zuzugreifen, Ressourcen bereitzustellen oder tiefer in die Infrastruktur einer Organisation einzudringen.

Scanner nutzen Umgehungstechniken

Die Angreifer testeten beim Anfordern von Dateien verschiedene Traversal- und Kodierungsvarianten. Dazu gehörten doppelt kodierte Traversal-Sequenzen, die das endgültige Ziel einer Anfrage verschleiern sollen.

Solche Techniken können Reverse-Proxys oder Web Application Firewalls umgehen, die Anfragen nicht korrekt normalisieren. Dadurch kann ein Sicherheitstool eine Anfrage genehmigen, bevor der Server deren schädlichen Inhalt dekodiert.

Die aktivsten Scan-Adressen zielten außerdem auf drei weitere Schwachstellen in der Vite-Zugriffskontrolle ab. Dazu gehören CVE-2025-30208, CVE-2025-31125 und CVE-2024-45811.

Behörden haben CVE-2025-31125 bereits zuvor als aktiv ausgenutzte Schwachstelle identifiziert. Daher können veraltete Server weiterhin über mehrere Angriffswege gefährdet sein.

Warum Vite-Server öffentlich zugänglich werden

Vite bindet seinen Entwicklungsserver normalerweise an localhost. Diese Standardeinstellung verhindert, dass externe Nutzer über das Internet darauf zugreifen können.

Entwickler können den Server jedoch öffentlich zugänglich machen, indem sie die Option --host verwenden oder die Einstellung server.host ändern. Auch fehlerhafte Docker-Portzuordnungen können dazu führen, dass eine Entwicklungsinstanz öffentlich erreichbar wird.

Entwicklungsserver können Anmeldedaten und Konfigurationsdaten enthalten, die Produktionssysteme benötigen. Dennoch fehlen ihnen häufig die stärkeren Sicherheitskontrollen, die bei öffentlich zugänglicher Infrastruktur eingesetzt werden.

Dadurch kann ein einziger Konfigurationsfehler sowohl den Server als auch die in seiner Umgebung gespeicherten Geheimnisse offenlegen.

So können Entwickler Vite schützen

F5 empfiehlt, Vite auf die neueste verfügbare Version zu aktualisieren. Aktuelle Versionen enthalten Korrekturen für die während der Kampagne ausgenutzten Schwachstellen.

Administratoren sollten außerdem den öffentlichen Zugriff auf Port 5173 verhindern, den Vite üblicherweise verwendet. Darüber hinaus können Sicherheitsteams verdächtige Anfragen blockieren, die auf den Pfad /@fs/ abzielen.

Entwickler sollten Crawler-User-Agent-Strings nicht als Beweis dafür betrachten, dass eine Anfrage harmlos ist. Angreifer können diese Kennungen problemlos kopieren oder verändern.

Organisationen können außerdem die drei aktivsten IP-Adressen blockieren, die während der Kampagne identifiziert wurden. Das Blockieren von Adressen allein wird Angreifer jedoch nicht daran hindern, auf neue Cloud-Infrastruktur auszuweichen.

Schließlich sollten Organisationen, die einen ungepatchten Vite-Server öffentlich zugänglich gemacht haben, alle erreichbaren Geheimnisse als kompromittiert betrachten. Sie sollten sämtliche Anmeldedaten, Token und Schlüssel rotieren, auf die das anfällige System zugreifen konnte.