Изследователи по киберсигурност разкриха подробности за кампания за масово сканиране, насочена към Vite внедрявания с цел извличане на чувствителни данни.

Първата е автоматизирана атака, насочена към достъпни през интернет Vite сървъри за разработка, предназначена да краде идентификационни данни за облачни услуги, конфигурации от инстанции на Amazon Web Services (AWS) и Microsoft Azure, както и файлове за състоянието на инфраструктурата, според F5 Labs.

Установено е, че дейността по събиране на идентификационни данни, наблюдавана през август 2026 г., използва експлойт за CVE-2026-39364 (CVSS оценка: 8.2) — уязвимост в сигурността с висока степен на критичност във Vite, която би могла да позволи на неавтентифициран атакуващ да заобиколи ограниченията за сигурност чрез манипулиране на заявката (query parameter) и да извлече чувствителни данни, включително файлове, посочени в server.fs.deny.

„При Vite dev сървъра файлове, които трябва да бъдат блокирани от server.fs.deny (напр. .env, *.crt), могат да бъдат извлечени с HTTP 200 отговори, когато се добавят параметри на заявката като ?raw, ?import&raw или ?import&url&inline“, заявяват от Vite в бюлетин за сигурност относно уязвимостта от април 2026 г.

Успешното експлоатиране обаче изисква изпълнението на три условия, за да се счита дадено приложение за засегнато –

  • Изрично излага Vite dev сървъра към мрежата чрез опцията за конфигурация --host или server.host
  • Чувствителният файл съществува в разрешените директории, посочени от server.fs.allow
  • Чувствителният файл е забранен с шаблон, който съвпада с файл според server.fs.deny

„При конфигурации по подразбиране Vite се свързва с localhost“, посочват от F5 Labs. „Когато разработчиците изложат услугата чрез подаване на флага --host, настройване на server.host или неправилно конфигуриране на съпоставянето на портове в Docker контейнери, сървърът за разработка става директно достъпен през локалната мрежа или обществения интернет.“

Атакуващите могат да изпратят HTTP GET заявка към крайната точка /@fs/, реферирайки пътя до чувствителен файл и добавяйки параметри за заобикаляне. Това кара сървъра да обработи заявката, пренебрегвайки проверката server.fs.deny, и в крайна сметка да върне съдържанието на поискания файл в прав текст в тялото на HTTP отговора.

Това може да има сериозни последици, когато заявката се използва за атакуване на конфигурационни директории, предоставяйки на киберпрестъпниците неоторизиран достъп до API тайни, пароли за бази данни и административни данни за достъп до облачни среди в прав текст. От F5 съобщават, че са наблюдавали няколко заявки, съответстващи на уязвимостта, с цел разузнаване и извличане на следните типове данни –

  • Конфигурации на средата (environment configurations)
  • Идентификационни данни за AWS
  • AWS конфигурации и резервни копия
  • Файлове за състоянието на инфраструктурата (напр. terraform.tfstate и serverless.yml)
  • Azure профили
  • Сисистемна памет и детайли за средата (напр. /etc/passwd, /proc/self/environ, /proc/1/environ и /proc/self/cwd/.env)

„Сканирането на /proc/self/cwd/.env показва разбиране на стека на внедряване, прочитайки активния .env файл спрямо работещия процес, без да е необходимо да се гадае абсолютният път на уеб приложението“, отбелязват от F5.

Заявките използват фалшиви User-Agent заглавки, имитиращи основни уеб робот базирани търсачки и ботове с изкуствен интелект като Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot и Amazonbot. Заявките също така инжектират фалшифицирани стойности X-Forwarded-For и X-Real-IP (напр. 34.94.237[.]62 и 104.28.219[.]193), за да заобиколят списъците за достъп въз основа на IP адреси и да затруднят анализа на логовете.

Значителна част от злонамерената дейност произхожда от САЩ, Белгия, Нидерландия, Сингапур и Тайван, като атакуващите използват диапазони на Google Cloud Platform (34.x и 35.x), за да останат под радара.