Cybersecurity-onderzoekers hebben details bekendgemaakt van een massale scancampagne die zich richt op het overhevelen van gevoelige gegevens van Vite-implementaties.
De eerste is een geautomatiseerde inspanning gericht op op internet blootgestelde Vite-ontwikkelingsservers die zijn ontworpen om cloudreferenties, configuraties van Amazon Web Services (AWS) en Microsoft Azure-instanties en infrastructuurstatusbestanden te stelen, volgens F5 Labs.
Het verzamelen van inloggegevens, waargenomen in augustus 2026, blijkt gebruik te maken van een exploit voor CVE-2026-39364 (CVSS-score: 8,2), een zeer ernstige beveiligingsfout in Vite waardoor een niet-geverifieerde aanvaller beveiligingsbeperkingen kan omzeilen via manipulatie van queryparameters en gevoelige gegevens kan lekken, inclusief bestanden gespecificeerd door server.fs.deny.
“Op de Vite dev-server kunnen bestanden die moeten worden geblokkeerd door server.fs.deny (bijvoorbeeld .env, *.crt) worden opgehaald met HTTP 200-antwoorden wanneer queryparameters zoals ?raw, ?import&raw of ?import&url&inline worden toegevoegd”, zei Vite in een advies over de fout in april 2026.
Succesvolle exploitatie vereist echter dat aan drie voorwaarden wordt voldaan voordat een app als getroffen kan worden beschouwd:
- Stelt de Vite-ontwikkelaarsserver expliciet bloot aan het netwerk met behulp van de configuratieoptie –host of server.host
- Het gevoelige bestand bestaat in de toegestane mappen die zijn opgegeven door server.fs.allow
- Het gevoelige bestand wordt geweigerd met een patroon dat overeenkomt met een bestand op server.fs.deny
“Onder standaardconfiguraties bindt Vite aan localhost”, aldus F5 Labs. “Wanneer ontwikkelaars de service ontmaskeren door de vlag –host door te geven, server.host in te stellen of Docker-containerpoorttoewijzingen verkeerd te configureren, wordt de ontwikkelingsserver direct bereikbaar via het lokale netwerk of het openbare internet.”
Aanvallers kunnen een HTTP GET-verzoek sturen naar het /@fs/-eindpunt, waarbij wordt verwezen naar een gevoelig bestandspad en er bypass-queryparameters aan worden toegevoegd. Dit zorgt ervoor dat de server het verzoek verwerkt, terwijl de server.fs.deny-controle wordt ondermijnd, en uiteindelijk de inhoud van het opgevraagde bestand in platte tekst retourneert in de HTTP-antwoordtekst.
Dit kan ernstige gevolgen hebben wanneer het verzoek wordt gebruikt om configuratiemappen te targeten, waardoor de aanvallers ongeautoriseerde toegang krijgen tot API-geheimen in platte tekst, databasewachtwoorden en cloudbeheerdersreferenties. F5 zei dat het verschillende verzoeken heeft waargenomen die consistent waren met de fout om verkenningen uit te voeren en de volgende soorten gegevens te extraheren:
- Omgevingsconfiguraties
- AWS-referenties
- AWS-configuraties en back-ups
- Infrastructuurstatusbestanden (bijvoorbeeld terraform.tfstate en serverless.yml)
- Azure-profielen
- Systeemgeheugen en omgevingsdetails (bijv. /etc/passwd, /proc/self/environ, /proc/1/environ en /proc/self/cwd/.env)
“Het onderzoeken van /proc/self/cwd/.env demonstreert inzicht in de implementatiestack, waarbij het actieve .env-bestand wordt gelezen ten opzichte van het lopende proces zonder dat u het absolute webapplicatiepad hoeft te raden”, aldus F5.
De verzoeken maken gebruik van valse User-Agent-headers die zich voordoen als grote webcrawlers en kunstmatige-intelligentiebots, zoals Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot en Amazonbot. De verzoeken injecteren ook vervalste X-Forwarded-For en X-Real-IP-waarden (bijvoorbeeld 34.94.237(.)62 en 104.28.219(.)193) om IP-gebaseerde toegangslijsten te omzeilen en loganalyse te compliceren.
Een aanzienlijk deel van de kwaadaardige activiteit is afkomstig uit de VS, België, Nederland, Singapore en Taiwan, waarbij de aanvallers het Google Cloud Platform-bereik (34.x en 35.x) gebruiken om onder de radar te blijven.
