Vulnerabilità di Vite sfruttata per rubare credenziali cloud

I ricercatori di sicurezza di F5 Labs hanno documentato una campagna di scansione di massa che sfrutta una vulnerabilità di Vite per rubare credenziali cloud da server di sviluppo esposti. L'attività automatizzata prende di mira le installazioni Vite esposte a Internet ed è progettata per raccogliere informazioni di configurazione da istanze Amazon Web Services (AWS) e Microsoft Azure, nonché file di stato dell'infrastruttura. L'attività di raccolta di credenziali, osservata ad agosto 2026, utilizza un exploit per CVE-2026-39364, una vulnerabilità ad alta gravità in Vite con un punteggio CVSS di 8.2. Vite è uno strumento di build e un server di sviluppo locale molto diffuso tra gli sviluppatori web; nella sua configurazione predefinita ascolta solo su localhost, il che significa che non è raggiungibile dall'esterno del computer, ma gli operatori a volte lo espongono a Internet o alla rete locale passando il flag --host, impostando l'opzione server.host o configurando male le mappature delle porte dei container Docker.

Secondo un avviso di Vite pubblicato ad aprile 2026, la vulnerabilità può consentire a un attaccante non autenticato di aggirare le restrizioni di sicurezza tramite la manipolazione dei parametri di query e di far trapelare dati sensibili, inclusi i file che l'impostazione server.fs.deny dovrebbe bloccare. Perché un'applicazione sia interessata, devono sussistere tre condizioni: il server di sviluppo Vite deve essere esplicitamente esposto alla rete usando --host o server.host; il file sensibile deve esistere nelle directory consentite specificate da server.fs.allow; e il file sensibile deve essere negato con un pattern che corrisponda a un file tramite server.fs.deny. Nelle configurazioni predefinite Vite si lega a localhost, quindi chi non modifica tale impostazione non è raggiungibile. F5 Labs osserva che gli attaccanti possono inviare una richiesta HTTP GET all'endpoint /@fs/, fare riferimento a un percorso di file sensibile e aggiungere parametri di query di bypass come ?raw, ?import&raw o ?import&url&inline. Ciò induce il server a elaborare la richiesta aggirando il controllo server.fs.deny, e il contenuto del file richiesto viene restituito in chiaro nel corpo della risposta HTTP.

F5 Labs ha osservato diverse richieste compatibili con l'uso di questa vulnerabilità per attività di ricognizione ed estrazione dati. Gli obiettivi includevano configurazioni di ambiente, credenziali AWS, configurazioni e backup AWS, file di stato dell'infrastruttura come terraform.tfstate e serverless.yml, profili Azure e dettagli di memoria ed ambiente di sistema tra cui /etc/passwd, /proc/self/environ, /proc/1/environ e /proc/self/cwd/.env. I ricercatori hanno affermato che il probing di /proc/self/cwd/.env dimostra una comprensione dello stack di distribuzione, perché legge il file .env attivo relativo al processo in esecuzione senza dover indovinare il percorso assoluto dell'applicazione web. In una compromissione reale, tali file in chiaro possono esporre segreti API, password di database e credenziali amministrative cloud, dando a un attaccante accesso non autorizzato agli account cloud e all'infrastruttura che tali credenziali proteggono.

La campagna ha anche utilizzato diverse tecniche di evasione. F5 Labs riferisce che le richieste malevole portavano header User-Agent falsi che impersonavano i principali crawler web e bot di intelligenza artificiale, tra cui Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot e Amazonbot. Gli attaccanti hanno iniettato valori contraffatti X-Forwarded-For e X-Real-IP come 34.94.237[.]62 e 104.28.219[.]193, che possono essere usati per aggirare le liste di accesso basate su IP e complicare l'analisi dei log. Una parte significativa dell'attività malevola proveniva da Stati Uniti, Belgio, Paesi Bassi, Singapore e Taiwan, e gli attaccanti hanno utilizzato intervalli IP di Google Cloud Platform nei blocchi 34.x e 35.x per confondersi con il traffico cloud normale.

Il rischio pratico è più alto per i server di sviluppo o di test lasciati raggiungibili pubblicamente, perché Vite non è progettato per essere un server di produzione sicuro. Se un attaccante riesce a leggere file .env, file di stato Terraform o file di profilo cloud, può ottenere credenziali a lunga durata che gli consentono di accedere all'ambiente cloud di produzione, modificare risorse o spostarsi su altri sistemi. Per i proprietari di siti web, le aziende e i team IT, l'incidente è un promemoria del fatto che i server di sviluppo e gli strumenti di build non dovrebbero mai essere esposti a Internet, e che le configurazioni predefinite dovrebbero essere riviste dopo qualsiasi modifica alla distribuzione. Gli amministratori dovrebbero anche controllare i log del server web per richieste a /@fs/ e per i parametri di query di bypass, e trattare qualsiasi esposizione come un incidente se sono stati restituiti file sensibili. Poiché l'attacco richiede solo un URL creato ad hoc, qualsiasi server di sviluppo Vite raggiungibile pubblicamente dovrebbe essere considerato un potenziale bersaglio. Per i team che gestiscono infrastrutture rivolte al pubblico, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza per aiutare a rivedere l'esposizione e rafforzare le configurazioni dei server.