Hackare skannar offentligt exponerade Vite-utvecklingsservrar för att stjäla inloggningsuppgifter och konfigurationsdata från AWS- och Microsoft Azure-miljöer. Kampanjen utnyttjar en allvarlig sårbarhet som gör det möjligt för angripare att komma åt filer utan autentisering.
Forskare registrerade fler än 800 attacker under en månad. Hackarna sökte efter miljöfiler, åtkomsttoken för molntjänster, Terraform-data och annan känslig information.
Hackare utnyttjar Vite-sårbarhet
Vite-serverattackerna utnyttjar CVE-2026-39364, en allvarlig sårbarhet för filåtkomst. Den påverkar Vite-versionerna 7.1.0 till 7.3.2. Den påverkar även versioner i 8.x-grenen före version 8.0.5.
Säkerhetsforskare offentliggjorde sårbarheten den 7 april. Den gör det möjligt för en oautentiserad angripare att manipulera frågeparametrar i en HTTP GET-begäran.
Som ett resultat kan den sårbara servern returnera filer som dess säkerhetskontroller normalt ska skydda. Angripare kan hämta denna information i klartext utan giltiga inloggningsuppgifter.
Vissa parametrar får servern att hoppa över filtreringen med dess blockeringslista. I stället för att avvisa begäran svarar den med den utvalda filen och HTTP-statuskoden 200.
Kampanjen genererar tusentals händelser
Teknikföretaget F5 upptäckte kampanjen genom sina honeypot-sensorer. Företagets forskare registrerade fler än 800 attacker och omkring 32 000 råa händelser inom en månad.
Aktiviteten verkar vara en del av en omfattande skanningsoperation. Angriparna söker på internet efter exponerade Vite-servrar i stället för att fokusera på enskilda organisationer.
Merparten av den skadliga trafiken kom från USA, Belgien och Nederländerna. Dessutom använde angriparna IP-adresser kopplade till Google Cloud-infrastruktur. Detta tillvägagångssätt kan hjälpa dem att dölja sitt ursprung eller undvika grundläggande filtreringssystem.
De tre mest aktiva adresserna var 34.14.15[.]105, 34.16.200[.]129 och 34.11.196[.]206.
Angripare söker efter inloggningsuppgifter till molntjänster
Efter att ha hittat en sårbar server använde hackarna omfattande ordlistor för att begära värdefulla filer. Deras huvudsakliga mål omfattade miljöfiler som .env, .env.production och .env.local.
Dessa filer innehåller ofta databaslösenord, applikationshemligheter och API-nycklar. Att exponera en enda fil kan därför ge en angripare åtkomst till flera anslutna tjänster.
Kampanjen sökte även i flera hemkataloger efter AWS-inloggningsuppgifter. Dessutom försökte hackarna hämta AWS-konfigurationsfiler, säkerhetskopior och annan lagrad autentiseringsdata.
Azure-inloggningsuppgifter och åtkomsttoken var ett annat viktigt mål. Angriparna letade även efter Terraform-tillstånds- och variabelfiler, som kan avslöja känsliga detaljer om molninfrastruktur.
Andra mål omfattade konfigurationsfiler för serverlösa miljöer och systemmiljödata. Skannrarna begärde information från Linux-processkataloger och försökte komma åt systemets lösenordsfil.
Om operationen lyckas kan den ge angriparna tillräckligt med information för att kompromettera molnmiljöer. Stulna inloggningsuppgifter kan göra det möjligt för dem att komma åt lagrad data, distribuera resurser eller ta sig djupare in i en organisations infrastruktur.
Skannrar använder tekniker för att undvika upptäckt
Angriparna testade flera varianter av traversal och kodning när de begärde filer. Dessa omfattade dubbelkodade traversal-sekvenser som utformats för att dölja den slutliga destinationen för en begäran.
Sådana tekniker kan kringgå omvända proxyservrar eller webbapplikationsbrandväggar som inte normaliserar begäranden korrekt. Följaktligen kan ett säkerhetsverktyg godkänna en begäran innan servern avkodar dess skadliga innehåll.
De mest aktiva skanningsadresserna riktade även in sig på tre andra sårbarheter i Vites åtkomstkontroll. Dessa sårbarheter omfattar CVE-2025-30208, CVE-2025-31125 och CVE-2024-45811.
Myndigheter har tidigare identifierat CVE-2025-31125 som en aktivt utnyttjad sårbarhet. Därför kan föråldrade servrar fortfarande vara exponerade genom flera attackvägar.
Varför Vite-servrar blir exponerade
Vite binder normalt sin utvecklingsserver till localhost. Denna standardinställning förhindrar externa användare från att komma åt den via internet.
Utvecklare kan dock exponera servern genom att använda alternativet --host eller ändra inställningen server.host. Felaktiga Docker-portmappningar kan också göra en utvecklingsinstans offentligt tillgänglig.
Utvecklingsservrar kan innehålla inloggningsuppgifter och konfigurationsdata som produktionssystem behöver. Ändå saknar de ofta de starkare säkerhetskontroller som används för publikt exponerad infrastruktur.
Följaktligen kan ett enda konfigurationsfel exponera både servern och de hemligheter som lagras i dess miljö.
Så kan utvecklare skydda Vite
F5 rekommenderar att Vite uppdateras till den senaste tillgängliga versionen. Aktuella versioner innehåller korrigeringar för de sårbarheter som användes under kampanjen.
Administratörer bör också förhindra offentlig åtkomst till port 5173, som Vite vanligtvis använder. Dessutom kan säkerhetsteam blockera misstänkta begäranden som riktas mot sökvägen /@fs/.
Utvecklare bör inte lita på crawler User-Agent-strängar som bevis på att en begäran är ofarlig. Angripare kan enkelt kopiera eller ändra dessa identifierare.
Organisationer kan också blockera de tre mest aktiva IP-adresserna som identifierades under kampanjen. Att enbart blockera adresser kommer dock inte att hindra angripare från att byta till ny molninfrastruktur.
Slutligen bör organisationer som har exponerat en opatchad Vite-server betrakta åtkomliga hemligheter som komprometterade. De bör rotera alla inloggningsuppgifter, token och nycklar som det sårbara systemet kunde komma åt.
0 svar till ”Vite-serverattacker riktas mot AWS- och Azure-hemligheter”