Hackere skanner offentlig eksponerte Vite-utviklingsservere for å stjele påloggingsinformasjon og konfigurasjonsdata fra AWS- og Microsoft Azure-miljøer. Kampanjen utnytter en alvorlig sårbarhet som gjør det mulig for angripere å få tilgang til filer uten autentisering.
Forskere registrerte mer enn 800 angrep i løpet av én måned. Hackerne søkte etter miljøfiler, tilgangstokener til skytjenester, Terraform-data og annen sensitiv informasjon.
Hackere utnytter Vite-sårbarhet
Vite-serverangrepene utnytter CVE-2026-39364, en alvorlig sårbarhet knyttet til filtilgang. Den påvirker Vite-versjonene 7.1.0 til 7.3.2. Den påvirker også utgivelser i 8.x-grenen før versjon 8.0.5.
Sikkerhetsforskere offentliggjorde sårbarheten 7. april. Den gjør det mulig for en uautentisert angriper å manipulere spørringsparametere i en HTTP GET-forespørsel.
Som et resultat kan den sårbare serveren returnere filer som sikkerhetskontrollene normalt skal beskytte. Angripere kan hente denne informasjonen i klartekst uten gyldig påloggingsinformasjon.
Enkelte parametere får serveren til å hoppe over filtreringen basert på blokkeringslisten. I stedet for å avvise forespørselen svarer den med den aktuelle filen og HTTP-statuskode 200.
Kampanjen genererer tusenvis av hendelser
Teknologiselskapet F5 oppdaget kampanjen gjennom sine honeypot-sensorer. Forskerne registrerte mer enn 800 angrep og rundt 32 000 råhendelser i løpet av én måned.
Aktiviteten ser ut til å være en del av en omfattende skanneoperasjon. Angriperne søker på internett etter eksponerte Vite-servere i stedet for å fokusere på enkeltorganisasjoner.
Mesteparten av den ondsinnede trafikken kom fra USA, Belgia og Nederland. I tillegg brukte angriperne IP-adresser knyttet til Google Cloud-infrastruktur. Denne tilnærmingen kan hjelpe dem med å skjule opprinnelsen eller unngå grunnleggende filtreringssystemer.
De tre mest aktive adressene var 34.14.15[.]105, 34.16.200[.]129 og 34.11.196[.]206.
Angripere søker etter påloggingsinformasjon til skytjenester
Etter å ha funnet en sårbar server brukte hackerne omfattende ordlister for å be om verdifulle filer. Hovedmålene deres inkluderte miljøfiler som .env, .env.production og .env.local.
Disse filene inneholder ofte databasepassord, applikasjonshemmeligheter og API-nøkler. Derfor kan eksponering av én fil gi en angriper tilgang til flere tilkoblede tjenester.
Kampanjen søkte også i flere hjemmekataloger etter AWS-påloggingsinformasjon. Videre forsøkte hackerne å hente AWS-konfigurasjonsfiler, sikkerhetskopier og andre lagrede autentiseringsdata.
Azure-påloggingsinformasjon og tilgangstokener var et annet viktig mål. Angriperne lette også etter Terraform-tilstands- og variabelfiler, som kan avsløre sensitive detaljer om skyinfrastruktur.
Andre mål inkluderte serverløse konfigurasjonsfiler og systemmiljødata. Skannerne ba om informasjon fra Linux-prosesskataloger og forsøkte å få tilgang til systemets passordfil.
Hvis operasjonen lykkes, kan den gi angriperne nok informasjon til å kompromittere skymiljøer. Stjålet påloggingsinformasjon kan gjøre det mulig for dem å få tilgang til lagrede data, distribuere ressurser eller bevege seg dypere inn i en organisasjons infrastruktur.
Skannere bruker teknikker for å unngå oppdagelse
Angriperne testet flere varianter av traversal og koding mens de ba om filer. Disse inkluderte dobbeltkodede traversal-sekvenser som er utformet for å skjule den endelige destinasjonen til en forespørsel.
Slike teknikker kan omgå reverse proxy-servere eller webapplikasjonsbrannmurer som ikke normaliserer forespørsler på riktig måte. Dermed kan et sikkerhetsverktøy godkjenne en forespørsel før serveren dekoder det ondsinnede innholdet.
De mest aktive skanneadressene rettet seg også mot tre andre sårbarheter i Vites tilgangskontroll. Disse sårbarhetene inkluderer CVE-2025-30208, CVE-2025-31125 og CVE-2024-45811.
Myndigheter har tidligere identifisert CVE-2025-31125 som en aktivt utnyttet sårbarhet. Derfor kan utdaterte servere fortsatt være eksponert gjennom flere angrepsveier.
Hvorfor Vite-servere blir eksponert
Vite binder normalt utviklingsserveren sin til localhost. Denne standardinnstillingen hindrer eksterne brukere i å få tilgang til den via internett.
Utviklere kan imidlertid eksponere serveren ved å bruke alternativet --host eller endre innstillingen server.host. Feil Docker-porttilordning kan også gjøre en utviklingsinstans offentlig tilgjengelig.
Utviklingsservere kan inneholde påloggingsinformasjon og konfigurasjonsdata som produksjonssystemer trenger. Likevel mangler de ofte de sterkere sikkerhetskontrollene som brukes på offentlig eksponert infrastruktur.
Dermed kan én konfigurasjonsfeil eksponere både serveren og hemmelighetene som er lagret i miljøet.
Slik kan utviklere beskytte Vite
F5 anbefaler å oppdatere Vite til den nyeste tilgjengelige versjonen. Gjeldende utgivelser inneholder rettelser for sårbarhetene som ble brukt under kampanjen.
Administratorer bør også hindre offentlig tilgang til port 5173, som Vite vanligvis bruker. I tillegg kan sikkerhetsteam blokkere mistenkelige forespørsler rettet mot /@fs/-banen.
Utviklere bør ikke stole på crawler User-Agent-strenger som bevis på at en forespørsel er ufarlig. Angripere kan enkelt kopiere eller endre disse identifikatorene.
Organisasjoner kan også blokkere de tre mest aktive IP-adressene som ble identifisert under kampanjen. Blokkering av adresser alene vil imidlertid ikke hindre angripere i å bytte til ny skyinfrastruktur.
Til slutt bør organisasjoner som har eksponert en upatchet Vite-server, behandle tilgjengelige hemmeligheter som kompromitterte. De bør rotere all påloggingsinformasjon, alle tokener og nøkler som det sårbare systemet kunne få tilgang til.
0 responses to “Vite-serverangrep retter seg mot AWS- og Azure-hemmeligheter”