Кибератаки с автоматизирано сканиране търсят публично достъпни Vite сървъри, за да извличат облачни идентификационни данни, конфигурации и други чувствителни файлове. В основата на кампанията е уязвимост, която позволява четене на файлове без автентикация.

Над 800 атаки за месец

Компанията F5 е засекла кампанията чрез свои honeypot сензори, като за период от около месец са регистрирани над 800 атаки и приблизително 32 000 събития.

Нападателите експлоатират CVE-2026-39364 – уязвимост с висока степен на опасност във Vite, засягаща версии 7.1.0 до 7.3.2 и 8.x преди 8.0.5.

Проблемът позволява на неавтентифициран нападател да манипулира параметри в HTTP GET заявка и да заобиколи ограниченията за достъп до файлове. В резултат съдържание от директории, които нормално трябва да бъдат недостъпни, може да бъде върнато в чист текст.

Целта са облачните тайни

Кампанията не изглежда да търси произволни файлове. Сканирането е насочено към конкретни места, в които разработчиците и DevOps екипите съхраняват чувствителна информация.

Сред търсените файлове са .env, .env.production и .env.local, AWS credential и configuration файлове, Azure идентификационни данни и токени, както и Terraform state и variable файлове.

Нападателите проверяват също Serverless конфигурации и чувствителни системни източници като /proc/self/environ, /proc/1/environ и /etc/passwd.

Особено показателен е автоматизираният характер на атаката. Използват се множество варианти за обход на ограниченията, включително двойно кодирани traversal последователности, вероятно с цел заобикаляне на нормализацията от обратни проксита и WAF системи.

Какво трябва да направят засегнатите екипи

Екипите, които използват Vite 7.1.0-7.3.2 или уязвими версии на Vite 8, трябва да действат като при потенциално изтичане на чувствителни данни:

1. Обновете Vite незабавно до версия, в която CVE-2026-39364 е отстранена. Не разчитайте единствено на рестартиране на сървъра или промяна на конфигурацията.
2. Проверете дали dev сървърът е бил достъпен от интернет. Особено внимание трябва да се обърне на конфигурации с --host, server.host и Docker портове, които публикуват порт 5173 извън локалната машина.
3. Прегледайте логовете за подозрителни заявки към /@fs/ и заявки, съдържащи параметри като raw, import и url. Следете и за опити за path traversal и необичайни кодирани URL пътища.
4. При публично изложен уязвим сървър приемете, че секретите може да са компрометирани. Сменете AWS и Azure ключове, токени, пароли и други идентификационни данни, които са могли да бъдат достъпни от файловата система.
5. Проверете .env файловете и cloud конфигурациите, включително .env.production, .env.local, AWS credential/config файлове, Terraform state и Serverless конфигурации. Не приемайте, че липсата на видима атака означава липса на компрометиране.
6. Ограничете мрежовия достъп до dev сървърите. Порт 5173 не трябва да бъде публично достъпен, освен ако няма конкретна бизнес необходимост и подходящ контрол за достъп.
7. Добавете наблюдение за повторни атаки. Блокирайте известните злонамерени IP адреси и следете за аналогична активност от нови адреси, тъй като инфраструктурата на нападателите може да се променя.

Критичният момент е ротацията на секретите. Ако уязвим Vite сървър е бил достъпен през интернет, екипът не трябва просто да инсталира пача и да затвори инцидента – първо трябва да установи какви файлове са могли да бъдат прочетени и да обезсили потенциално откраднатите идентификационни данни.

Vite често се оказва изложен по погрешка

Vite по принцип слуша на localhost, но разработчиците могат да го направят достъпен от интернет чрез --host, настройката server.host или неправилно конфигурирани Docker портове.

Именно тук се появява критичният проблем: инструмент, предназначен за разработка, се оказва достъпен от публичния интернет и се превръща в потенциален вход към облачната инфраструктура.

F5 препоръчва Vite да бъде актуализиран до последната версия, достъпът през порт 5173 да бъде ограничен, а подозрителните заявки към /@fs/ да бъдат блокирани. Не трябва да се разчита и на User-Agent, представящ атакуващия като легитимен crawler.

При вече изложен и неактуализиран Vite сървър препоръката е още по-сериозна: всички секрети, до които системата е имала достъп, трябва да бъдат сменени.

Това включва облачни ключове, токени и други идентификационни данни. Причината е проста – ако нападателят е могъл да прочете .env или credential файл, вече не може да се приема, че тези тайни са останали тайни.