Gli attaccanti sfruttano una falla di Vite per rubare segreti AWS e Azure

Gli attaccanti stanno attivamente scansionando Internet alla ricerca di server di sviluppo Vite esposti e usano un bypass di accesso ai file recentemente divulgato per rubare credenziali cloud da distribuzioni Amazon Web Services e Microsoft Azure. Vite è uno strumento gratuito che gli sviluppatori usano per creare e testare siti web e applicazioni JavaScript, e il suo server di sviluppo integrato consente loro di visualizzare in anteprima le modifiche prima della pubblicazione. Questo è importante per i proprietari di siti web e i team IT perché i server di sviluppo sono spesso gestiti da membri dello stesso team e possono essere lasciati esposti per errore, anche se possono contenere credenziali reali per i servizi cloud. La vulnerabilità alla base della campagna è CVE-2026-39364, una falla di gravità elevata che interessa le versioni di Vite dalla 7.1.0 alla 7.3.2, nonché il ramo 8.x precedente alla 8.0.5. È stata resa pubblica il 7 aprile.

La falla consente a un attaccante non autenticato, cioè qualcuno che non ha effettuato l'accesso né fornito alcuna password, di inviare una richiesta HTTP GET appositamente predisposta. Una richiesta HTTP GET è il tipo normale di richiesta che un browser invia quando si visita una pagina web, e l'attaccante si limita ad aggiungere determinati parametri di query, il testo extra dopo un punto interrogativo in un indirizzo web, a quella richiesta. Secondo F5, una società tecnologica che gestisce server esca per attirare e registrare traffico malevolo, il server non riesce ad applicare il filtraggio della sua lista di divieto quando le richieste contengono parametri come ?raw, ?import&raw o ?import&url&inline. Il server restituisce quindi il file di destinazione con uno stato HTTP 200, il che significa che la richiesta è riuscita e il file è stato restituito in chiaro, anche se normalmente dovrebbe essere fuori dalla portata dell'attaccante.

F5 ha rilevato l'attività tramite sensori honeypot, che sono sistemi esca predisposti per attirare e registrare gli attacchi. In un periodo di un mese, la società ha osservato più di 800 attacchi e circa 32.000 eventi grezzi. La scansione era incentrata sul furto di segreti di valore utilizzando ampie wordlist, che sono lunghi elenchi di nomi di file e percorsi comuni che gli attaccanti provano uno dopo l'altro. Gli obiettivi includevano file di ambiente come .env, .env.production e .env.local, che sono file di testo semplice che memorizzano dettagli di configurazione e credenziali segrete. Gli attaccanti hanno anche cercato file di credenziali AWS in diverse possibili directory home, file di configurazione AWS e backup di credenziali, credenziali e token di accesso Azure, file di stato e variabili Terraform, file di configurazione e stato serverless, e percorsi di sistema speciali come /proc/self/environ, /proc/1/environ, /proc/self/cwd/.env e /etc/passwd.

L'operazione ha anche tentato il directory traversal e varianti di codifica, incluse sequenze di traversal con doppia codifica. Il directory traversal è una tecnica in cui un attaccante usa sequenze punto-punto per spostarsi al di fuori di una directory, e la doppia codifica viene usata per aggirare strumenti di sicurezza che normalizzano o filtrano tali richieste, come reverse proxy o web application firewall. La maggior parte dell'attività malevola osservata proveniva da Stati Uniti, Belgio e Paesi Bassi, e gli attaccanti hanno usato intervalli IP di Google Cloud per nascondere la loro vera origine. Gli indirizzi IP più attivi hanno anche sfruttato altre falle di controllo degli accessi in Vite: CVE-2025-30208, CVE-2025-31125, segnalata come attivamente sfruttata, e CVE-2024-45811.

Vite normalmente si lega a localhost, il che significa che è raggiungibile solo dal computer dello sviluppatore e non da Internet pubblico. Ma i ricercatori di F5 notano che gli sviluppatori spesso lo espongono online passando il flag --host, impostando l'opzione server.host o usando mappature di porte Docker mal configurate, che possono accidentalmente rendere il server raggiungibile da qualsiasi luogo. Per proteggersi da questa campagna, F5 raccomanda di aggiornare i server Vite all'ultima versione, che corregge le falle sfruttate. Gli sviluppatori dovrebbero anche bloccare l'accesso attraverso la porta 5173, la porta predefinita usata da Vite, bloccare le richieste sospette /@fs/ e evitare di fidarsi delle stringhe User-Agent dei crawler, che possono essere falsificate. I principali indirizzi IP di origine dei tentativi malevoli sono 34.14.15[.]105, 34.16.200[.]129 e 34.11.196[.]206, e F5 afferma che dovrebbero essere inseriti nella lista di blocco. Se un server Vite non patchato è stato esposto pubblicamente, la raccomandazione è di ruotare tutti i segreti che erano a portata del sistema vulnerabile.

Ruotare un segreto significa generare una nuova password o chiave di accesso e aggiornare ogni luogo che usa quella vecchia, in modo che le credenziali rubate diventino inutili. La fonte non dice se credenziali rubate siano già state usate per accedere ad account cloud. Per i team che gestiscono infrastrutture di sviluppo esposte a Internet, questa campagna è un promemoria che anche strumenti temporanei possono diventare un punto di ingresso. AEU-I, il servizio IT e di consulenza di AEU orientato alla sicurezza, aiuta le organizzazioni a valutare la propria esposizione e ad applicare le patch per ridurre tali rischi.