Vite-Schwachstelle ausgenutzt, um Cloud-Anmeldedaten zu stehlen

Sicherheitsforscher von F5 Labs haben eine Massen-Scanning-Kampagne dokumentiert, die eine Vite-Schwachstelle ausnutzt, um Cloud-Anmeldedaten von exponierten Entwicklungsservern zu stehlen. Der automatisierte Angriff zielt auf internetexponierte Vite-Installationen ab und soll Konfigurationsinformationen von Amazon Web Services (AWS) und Microsoft Azure sowie Infrastruktur-Statusdateien erbeuten. Die Aktivität zur Erbeutung von Anmeldedaten, beobachtet im August 2026, nutzt einen Exploit für CVE-2026-39364, eine Schwachstelle hoher Schwere in Vite mit einem CVSS-Score von 8,2. Vite ist ein beliebtes Build-Tool und lokaler Entwicklungsserver, das von Webentwicklern verwendet wird; in der Standardeinstellung lauscht es nur auf localhost, ist also von außerhalb des Computers nicht erreichbar, aber Betreiber setzen es manchmal dem Internet oder lokalen Netzwerk aus, indem sie das --host-Flag übergeben, die Option server.host setzen oder Docker-Container-Portzuordnungen falsch konfigurieren.

Laut einer im April 2026 veröffentlichten Vite-Sicherheitsmitteilung kann die Schwachstelle einem nicht authentifizierten Angreifer ermöglichen, Sicherheitsbeschränkungen durch Manipulation von Abfrageparametern zu umgehen und sensible Daten preiszugeben, einschließlich Dateien, die die Einstellung server.fs.deny eigentlich blockieren soll. Damit eine Anwendung betroffen ist, müssen drei Bedingungen erfüllt sein: Der Vite-Entwicklungsserver muss explizit über --host oder server.host dem Netzwerk ausgesetzt sein; die sensible Datei muss in den erlaubten Verzeichnissen existieren, die durch server.fs.allow angegeben sind; und die sensible Datei muss durch ein Muster, das eine Datei über server.fs.deny abgleicht, verweigert werden. In Standardkonfigurationen bindet Vite an localhost, sodass Betreiber, die das nicht ändern, nicht erreichbar sind. F5 Labs stellt fest, dass Angreifer eine HTTP-GET-Anfrage an den /@fs/-Endpunkt senden, einen sensiblen Dateipfad referenzieren und Umgehungs-Abfrageparameter wie ?raw, ?import&raw oder ?import&url&inline anhängen können. Dadurch verarbeitet der Server die Anfrage, während die server.fs.deny-Prüfung untergraben wird, und der Inhalt der angeforderten Datei wird im Klartext im HTTP-Antwortkörper zurückgegeben.

F5 Labs beobachtete mehrere Anfragen, die mit dieser Schwachstelle für Aufklärung und Datenextraktion übereinstimmen. Zu den Zielen gehörten Umgebungskonfigurationen, AWS-Anmeldedaten, AWS-Konfigurationen und -Backups, Infrastruktur-Statusdateien wie terraform.tfstate und serverless.yml, Azure-Profile sowie System- und Umgebungsdetails wie /etc/passwd, /proc/self/environ, /proc/1/environ und /proc/self/cwd/.env. Die Forscher sagten, dass das Ausspähen von /proc/self/cwd/.env ein Verständnis des Deployment-Stacks zeigt, da es die aktive .env-Datei relativ zum laufenden Prozess liest, ohne den absoluten Pfad der Webanwendung erraten zu müssen. Bei einer echten Kompromittierung können solche Klartextdateien API-Geheimnisse, Datenbankpasswörter und administrative Cloud-Anmeldedaten offenlegen und einem Angreifer unbefugten Zugriff auf die Cloud-Konten und die Infrastruktur geben, die diese Anmeldedaten schützen.

Die Kampagne verwendete auch mehrere Verschleierungstechniken. F5 Labs berichtet, dass die bösartigen Anfragen gefälschte User-Agent-Header trugen, die große Webcrawler und KI-Bots imitierten, darunter Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot und Amazonbot. Die Angreifer fügten gefälschte X-Forwarded-For- und X-Real-IP-Werte wie 34.94.237[.]62 und 104.28.219[.]193 ein, die verwendet werden können, um IP-basierte Zugriffslisten zu umgehen und die Protokollanalyse zu erschweren. Ein erheblicher Teil der bösartigen Aktivität stammte aus den Vereinigten Staaten, Belgien, den Niederlanden, Singapur und Taiwan, und die Angreifer nutzten IP-Bereiche von Google Cloud Platform in den Blöcken 34.x und 35.x, um sich unter normalen Cloud-Datenverkehr zu mischen.

Das praktische Risiko ist am höchsten für Entwicklungs- oder Testserver, die öffentlich erreichbar geblieben sind, da Vite nicht als sicherer Produktionsserver konzipiert ist. Wenn ein Angreifer .env-Dateien, Terraform-Statusdateien oder Cloud-Profil-Dateien lesen kann, kann er langlebige Anmeldedaten erhalten, die ihm Zugriff auf die Produktions-Cloud-Umgebung ermöglichen, Ressourcen zu ändern oder auf andere Systeme zu wechseln. Für Website-Betreiber, Unternehmen und IT-Teams ist der Vorfall eine Erinnerung daran, dass Entwicklungsserver und Build-Tools niemals dem Internet ausgesetzt werden sollten und dass Standardkonfigurationen nach jeder Deployment-Änderung überprüft werden sollten. Administratoren sollten auch Webserver-Protokolle auf Anfragen an /@fs/ und auf die Umgehungs-Abfrageparameter prüfen und jede Exposition als Vorfall behandeln, wenn sensible Dateien zurückgegeben wurden. Da der Angriff nur eine präparierte URL erfordert, sollte jeder öffentlich erreichbare Vite-Entwicklungsserver als potenzielles Ziel betrachtet werden. Für Teams, die öffentlich zugängliche Infrastruktur verwalten, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung an, um Exposition zu überprüfen und Serverkonfigurationen zu straffen.