Hacker scannen exponierte Vite-Server nach AWS-, Azure- und Deployment-Geheimnissen

Angreifer führen eine groß angelegte Scan-Kampagne gegen aus dem Internet erreichbare Vite-Entwicklungsserver durch. Dabei versuchen sie, Cloud-Zugangsdaten, Zugriffstoken, Umgebungsdateien und Daten zur Infrastrukturverwaltung auszulesen.

F5 registrierte innerhalb eines einmonatigen Beobachtungszeitraums mehr als 800 Angriffe und rund 32.000 Rohereignisse. Hauptziel ist CVE-2026-39364, eine schwerwiegende Schwachstelle zum Dateizugriff in aktuellen Vite-Versionen. Die Scanner testen jedoch auch mehrere ältere Schwachstellen zur Umgehung von Zugriffskontrollen.

Die Aktivitäten zielen auf einen gefährlichen Konfigurationsfehler: die Veröffentlichung eines Entwicklungsservers, der normalerweise nur auf dem lokalen Host lauschen würde. Diese Erreichbarkeit kann durch Vites Option --host, die Einstellung server.host oder fehlerhafte Docker-Portzuordnungen entstehen.

Abfrageparameter machen Dateianfragen zur Sicherheitsumgehung

CVE-2026-39364 ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, Abfrageparameter in HTTP-GET-Anfragen zu manipulieren und Vites Beschränkungen beim Lesen von Dateien zu umgehen. Die Schwachstelle hat einen CVSS-Score von 7,5 und den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

Betroffen sind folgende Versionen:

• Vite 7.1.0 bis 7.3.2
• Vite-8.x-Versionen vor 8.0.5

Die Schwachstelle wurde am 7. April veröffentlicht. Ihr Status in CISA Known Exploited Vulnerabilities wurde noch nicht angegeben.

Die Angreifer verwenden unter anderem folgende Abfragekonstruktionen:

?raw
?import&raw
?import&url&inline

Auf einem verwundbaren Server können diese Parameter die Prüfungen beeinträchtigen, die den Zugriff auf geschützte oder außerhalb des zulässigen Bereichs liegende Dateien verhindern sollen. Anstatt die Anfrage abzulehnen, kann Vite den angeforderten Inhalt als Klartext mit einer HTTP-Antwort 200 zurückgeben.

Die Scans umfassen außerdem Varianten von Pfadüberquerungen und Kodierungen. Einige Anfragen verwenden doppelt kodierte Traversal-Sequenzen, die möglicherweise die Normalisierung durch einen Reverse Proxy oder eine Web Application Firewall überstehen, bevor sie Vite erreichen.

Dabei handelt es sich nicht unmittelbar um eine Codeausführung. Die direkte Auswirkung auf die Sicherheit ist ein Verlust der Vertraulichkeit. Das entwendete Material kann jedoch alles enthalten, was für eine umfassendere Kompromittierung der Cloud, des Deployments oder des Hosts erforderlich ist.

Scanner suchen nach Cloud-Schlüsseln und Infrastrukturinformationen

Die Kampagne verwendet umfangreiche Wortlisten und konzentriert sich nicht auf eine einzelne Datei. Zu den häufigen Zielen gehören .env, .env.production, .env.local und andere Dateien mit Umgebungsvariablen, in denen Entwickler häufig Anwendungsgeheimnisse speichern.

Außerdem prüfen die Angreifer mehrere Pfade in Benutzerverzeichnissen auf AWS-Konfigurationsdateien, Zugangsdaten und Sicherungskopien. Azure-Zugangsdaten und Zugriffstoken gehören ebenfalls zu den bevorzugten Zielen.

Daten aus der Infrastructure-as-Code-Verwaltung sind besonders wertvoll. Terraform-State-Dateien können Ressourcenkennungen, Provider-Konfigurationen, die interne Architektur und im State gespeicherte Geheimnisse offenlegen. Terraform-Variablendateien können Zugangsdaten enthalten, die zur Bereitstellung oder Änderung von Cloud-Ressourcen verwendet werden. Serverless-Konfigurations- und State-Dateien können ähnliche Deployment-Informationen preisgeben.

Während der Kampagne beobachtete Anfragen zielten außerdem auf Betriebssystempfade wie:

/proc/self/environ
/proc/1/environ
/proc/self/cwd/.env
/etc/passwd

Die Umgebungsdateien unter /proc können Geheimnisse offenlegen, die zur Laufzeit an Anwendungs- oder Containerprozesse übergeben wurden. /etc/passwd enthält normalerweise keine Passwort-Hashes, kann aber Kontonamen, Benutzerverzeichnisse, Dienstidentitäten und weitere für Folgeangriffe nützliche Informationen preisgeben.

Eine erfolgreiche Anfrage könnte langlebige Zugriffsschlüssel, temporäre Cloud-Zugangsdaten, CI/CD-Geheimnisse, Deployment-Schlüssel, interne Pfade und Anwendungskonfigurationen offenlegen. Die Angreifer könnten diese Zugangsdaten anschließend unabhängig vom Vite-Server verwenden. Spätere Aktivitäten würden dann in Cloud-Diensten statt auf dem ursprünglich betroffenen Host sichtbar.

Ältere Vite-Schwachstellen gehören weiterhin zum Werkzeugkasten der Angreifer

Die aktivsten Quelladressen beschränkten ihre Anfragen nicht auf CVE-2026-39364. F5 beobachtete auch Versuche im Zusammenhang mit CVE-2025-30208, CVE-2025-31125 und CVE-2024-45811.

CVE-2025-30208 hat einen CVSS-Score von 5,3. Die Schwachstelle betrifft Vites @fs-Mechanismus, der den Zugriff auf Dateien außerhalb der konfigurierten Zulassungsliste für die Bereitstellung beschränken soll. Abfrageformen wie ?raw?? und ?import&raw?? können diese Kontrolle umgehen, weil nachgestellte Trennzeichen während der Verarbeitung von Anfragen uneinheitlich behandelt werden.

Der Produkteintrag in der NVD nennt vitejs vite < 4.5.10. Die detaillierteren Angaben zu den betroffenen Versionen führen Korrekturen in folgenden Versionen auf:

• 4.5.10
• 5.4.15
• 6.0.12
• 6.1.2
• 6.2.3

CVE-2025-31125, ebenfalls mit einem Score von 5,3 bewertet, nutzt verwandte Abfragezeichenfolgen wie ?inline&import und ?raw?import, um Dateien offenzulegen, die nicht bereitgestellt werden sollten. Fehlerbehebungen sind in Vite 4.5.11, 5.4.16, 6.0.13, 6.1.3 und 6.2.4 verfügbar.

CISA nahm CVE-2025-31125 am 22. Januar 2026 in seinen KEV-Katalog auf. US-Bundesbehörden mussten die Schwachstelle bis zum 12. Februar 2026 beheben. Als erforderliche Maßnahme nennt CISA die Anwendung der Gegenmaßnahmen des Herstellers, die Einhaltung der geltenden BOD-22-01-Vorgaben für Cloud-Dienste oder die Einstellung der Produktnutzung, wenn keine Gegenmaßnahme verfügbar ist.

Dieser KEV-Eintrag belegt, dass die Ausnutzung von Vites Dateizugriffskontrollen bereits vor der nun gemeldeten Kampagne begonnen hatte. Die aktuellen Scans zeigen, dass Angreifer weiterhin mehrere Generationen derselben grundlegenden Schwachstelle gegen alle erreichbaren Versionen testen.

CVE-2024-45811 hat einen CVSS-Score von 4,8. Genaue Angaben zu betroffenen Versionen und Fehlerbehebungen dieser Schwachstelle sind den verfügbaren Informationen zur Kampagne nicht zu entnehmen.

Cloud-Infrastruktur verschleiert den Standort der Betreiber

Ein großer Teil des beobachteten Datenverkehrs war den Vereinigten Staaten, Belgien und den Niederlanden zugeordnet. Einige Anfragen liefen jedoch über Google-Cloud-Adressbereiche, wodurch der Aussagewert der Geolokalisierung für eine Zuordnung eingeschränkt ist.

Die drei aktivsten von F5 identifizierten schädlichen Quelladressen waren:

34.14.15[.]105
34.16.200[.]129
34.11.196[.]206

F5 empfiehlt, diese Adressen zu blockieren. Verteidiger sollten sie als erste Indikatoren und nicht als vollständige Erkennungsmenge behandeln, da Scan-Infrastruktur schnell ausgetauscht werden kann.

Anfragen, die gewöhnlichen Crawlern ähneln, sollten nicht automatisch als vertrauenswürdig gelten. Ein Angreifer kann einen vertrauten oder harmlos wirkenden User-Agent-Header festlegen, ohne den zugrunde liegenden Exploit-Datenverkehr zu verändern.

Exponierte Server müssen gepatcht und Zugangsdaten ausgetauscht werden

Administratoren sollten Vite auf die neueste verfügbare Version aktualisieren und überprüfen, ob die installierte Version alle relevanten Schwachstellen behebt. Für CVE-2026-39364 bedeutet dies, auf eine Version nach Vite 7.3.2 zu wechseln oder innerhalb der dokumentierten Entwicklungszweige Vite 8.0.5 oder höher einzusetzen.

Entwicklungsserver sollten nicht direkt aus dem Internet erreichbar sein. Teams sollten --host, server.host, die Container-Netzwerkkonfiguration, die Veröffentlichung von Docker-Ports, Firewall-Regeln und temporäre Testumgebungen überprüfen, die möglicherweise weiterhin online sind.

Der externe Zugriff auf den TCP-Port 5173, den der Vite-Entwicklungsserver in dieser Kampagne verwendet, sollte blockiert werden, sofern kein dokumentierter betrieblicher Bedarf besteht. Sicherheitsteams sollten außerdem Anfragen mit /@fs/, den bekannten Abfragekombinationen, kodierten Traversal-Sequenzen sowie Abfragen nach Cloud- oder Umgebungsdateien überwachen.

Ein Patch allein reicht nicht aus, wenn ein verwundbarer Server zuvor öffentlich erreichbar war. Organisationen sollten davon ausgehen, dass lesbare Geheimnisse möglicherweise gesammelt wurden, ohne außer gewöhnlichen HTTP-Zugriffsprotokollen weitere Spuren zu hinterlassen.

Potenziell offengelegte AWS-Zugangsdaten, Azure-Token, CI/CD-Geheimnisse, Umgebungsvariablen, Terraform-Zugangsdaten, Serverless-Deployment-Geheimnisse und Anwendungsschlüssel sollten widerrufen oder ausgetauscht werden. Anschließend sollten Cloud-Audit-Logs auf unerwartete Authentifizierungen, Ressourcenerkundungen, Berechtigungsänderungen oder die Nutzung durch unbekannte Infrastruktur geprüft werden.

Auch Terraform- und Serverless-Artefakte müssen auf ihre Integrität überprüft werden. Angreifer, die gültige Zugangsdaten erlangt haben, könnten Cloud-Ressourcen geändert haben, ohne den Vite-Host selbst zu verändern.

Die entscheidende Frage ist nicht einfach, ob sich in lokalen Logs Hinweise auf eine Ausnutzung finden. Entscheidend ist, ob der Entwicklungsserver sensible Dateien zurückgeben konnte, während er erreichbar war. Wenn dies der Fall ist, sollte die Incident Response als Untersuchung einer möglichen Offenlegung von Zugangsdaten durchgeführt werden.