Angreifer nutzen Vite-Schwachstelle, um AWS- und Azure-Geheimnisse zu stehlen

Angreifer scannen aktiv das Internet nach exponierten Vite-Entwicklungsservern und nutzen eine kürzlich offengelegte Dateizugriffsumgehung, um Cloud-Anmeldedaten aus Amazon Web Services- und Microsoft Azure-Bereitstellungen zu stehlen. Vite ist ein kostenloses Werkzeug, das Entwickler zum Erstellen und Testen von JavaScript-Websites und -Anwendungen verwenden, und sein integrierter Entwicklungsserver ermöglicht es ihnen, Änderungen vor der Veröffentlichung in der Vorschau anzuzeigen. Dies ist für Website-Besitzer und IT-Teams wichtig, weil Entwicklungsserver oft von Mitgliedern desselben Teams betrieben werden und versehentlich exponiert bleiben können, obwohl sie echte Anmeldedaten für Cloud-Dienste enthalten können. Die hinter der Kampagne stehende Schwachstelle ist CVE-2026-39364, eine Schwachstelle mit hohem Schweregrad, die Vite-Versionen 7.1.0 bis 7.3.2 sowie den 8.x-Zweig vor 8.0.5 betrifft. Sie wurde am 7. April öffentlich gemacht.

Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, also jemandem, der sich nicht angemeldet oder ein Passwort eingegeben hat, eine speziell gestaltete HTTP-GET-Anfrage zu senden. Eine HTTP-GET-Anfrage ist der normale Anfragetyp, den ein Browser sendet, wenn Sie eine Webseite besuchen, und der Angreifer fügt dieser Anfrage einfach bestimmte Abfrageparameter hinzu, den zusätzlichen Text nach einem Fragezeichen in einer Webadresse. Laut F5, einem Technologieunternehmen, das Köderserver betreibt, um bösartigen Datenverkehr anzulocken und aufzuzeichnen, erzwingt der Server seine Deny-List-Filterung nicht, wenn Anfragen Parameter wie ?raw, ?import&raw oder ?import&url&inline enthalten. Er liefert dann die Zieldatei mit dem HTTP-Status 200 aus, was bedeutet, dass die Anfrage erfolgreich war und die Datei im Klartext zurückgegeben wurde, obwohl sie normalerweise außerhalb der Reichweite des Angreifers liegen sollte.

F5 erkannte die Aktivität durch Honeypot-Sensoren, also Ködersysteme, die eingerichtet wurden, um Angriffe anzulocken und aufzuzeichnen. Über einen Zeitraum von einem Monat beobachtete das Unternehmen mehr als 800 Angriffe und etwa 32.000 Rohdatenereignisse. Das Scannen konzentrierte sich auf den Diebstahl wertvoller Geheimnisse mithilfe umfangreicher Wortlisten, also langer Listen gängiger Dateinamen und Pfade, die Angreifer nacheinander ausprobieren. Zu den Zielen gehörten Umgebungsdateien wie .env, .env.production und .env.local, also reine Textdateien, die Konfigurationsdetails und geheime Anmeldedaten speichern. Die Angreifer suchten auch nach AWS-Anmeldedatendateien in mehreren möglichen Home-Verzeichnissen, AWS-Konfigurationsdateien und Anmeldedaten-Backups, Azure-Anmeldedaten und Zugriffstoken, Terraform-State- und -Variablendateien, serverlosen Konfigurations- und State-Dateien sowie speziellen Systempfaden wie /proc/self/environ, /proc/1/environ, /proc/self/cwd/.env und /etc/passwd.

Die Operation versuchte auch Directory Traversal und Kodierungsvarianten, einschließlich doppelt kodierter Traversal-Sequenzen. Directory Traversal ist eine Technik, bei der ein Angreifer Punkt-Punkt-Sequenzen verwendet, um sich außerhalb eines Verzeichnisses zu bewegen, und doppelte Kodierung wird verwendet, um Sicherheitstools zu umgehen, die solche Anfragen normalisieren oder filtern, wie Reverse-Proxys oder Web Application Firewalls. Der Großteil der beobachteten bösartigen Aktivität stammte aus den Vereinigten Staaten, Belgien und den Niederlanden, und die Angreifer nutzten Google Cloud IP-Bereiche, um ihre wahre Herkunft zu verbergen. Die aktivsten IP-Adressen nutzten auch andere Zugriffskontrollschwachstellen in Vite aus: CVE-2025-30208, CVE-2025-31125, die als aktiv ausgenutzt gekennzeichnet ist, und CVE-2024-45811.

Vite bindet normalerweise an localhost, was bedeutet, dass es nur vom Computer des Entwicklers selbst erreichbar ist und nicht aus dem öffentlichen Internet. Aber F5-Forscher stellen fest, dass Entwickler es oft online exponieren, indem sie das Flag --host übergeben, die Option server.host setzen oder fehlkonfigurierte Docker-Portzuordnungen verwenden, was den Server versehentlich von überall erreichbar machen kann. Zum Schutz gegen diese Kampagne empfiehlt F5, Vite-Server auf die neueste Version zu aktualisieren, die die ausgenutzten Schwachstellen behebt. Entwickler sollten auch den Zugriff über Port 5173, den Standardport von Vite, blockieren, verdächtige /@fs/-Anfragen blockieren und vermeiden, Crawler-User-Agent-Zeichenfolgen zu vertrauen, die gefälscht werden können. Die wichtigsten Quell-IP-Adressen für die bösartigen Versuche sind 34.14.15[.]105, 34.16.200[.]129 und 34.11.196[.]206, und F5 sagt, sie sollten auf die Blockliste gesetzt werden. Wenn ein ungepatchter Vite-Server öffentlich exponiert war, wird empfohlen, alle Geheimnisse zu rotieren, die für das verwundbare System erreichbar waren.

Das Rotieren eines Geheimnisses bedeutet, ein neues Passwort oder einen neuen Zugriffsschlüssel zu generieren und jede Stelle zu aktualisieren, die das alte verwendet, damit gestohlene Anmeldedaten unbrauchbar werden. Die Quelle sagt nicht, ob bereits gestohlene Anmeldedaten verwendet wurden, um auf Cloud-Konten zuzugreifen. Für Teams, die internetzugewandte Entwicklungsinfrastruktur verwalten, ist diese Kampagne eine Erinnerung daran, dass selbst temporäre Werkzeuge zu einem Einstiegspunkt werden können. AEU-I, der sicherheitsorientierte IT- und Beratungsservice von AEU, hilft Organisationen, ihre Exposition zu bewerten und Patches anzuwenden, um solche Risiken zu reduzieren.