Des hackers analysent des serveurs Vite exposés à la recherche de secrets AWS, Azure et de déploiement

Des attaquants mènent une campagne d’analyse à grande échelle contre des serveurs de développement Vite accessibles depuis Internet, afin d’en extraire des identifiants cloud, des jetons d’accès, des fichiers d’environnement et des données de gestion de l’infrastructure.

F5 a détecté plus de 800 attaques et environ 32 000 événements bruts sur une période d’observation d’un mois. La cible principale est CVE-2026-39364, une vulnérabilité de gravité élevée permettant l’accès à des fichiers et touchant les versions récentes de Vite, mais les scanners testent également plusieurs vulnérabilités plus anciennes permettant de contourner les contrôles d’accès.

Cette activité exploite une erreur de configuration dangereuse : l’exposition d’un serveur de développement qui, en temps normal, n’écoute que sur localhost. Les organisations peuvent provoquer cette exposition via l’option --host de Vite, le paramètre server.host ou une configuration incorrecte des mappages de ports Docker.

Les paramètres de requête transforment les demandes de fichiers en contournement de sécurité

CVE-2026-39364 permet à un attaquant distant non authentifié de manipuler les paramètres de requête dans les requêtes HTTP GET et de contourner les restrictions de Vite concernant la lecture de fichiers. La vulnérabilité affiche un score CVSS de 7,5 et correspond au vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.

Les versions concernées sont les suivantes :

• Vite 7.1.0 à 7.3.2
• Versions de Vite 8.x antérieures à 8.0.5

La vulnérabilité a été divulguée le 7 avril. Son statut dans le catalogue CISA Known Exploited Vulnerabilities n’a pas été précisé.

Les attaquants utilisent notamment les constructions de requête suivantes :

?raw
?import&raw
?import&url&inline

Sur un serveur vulnérable, ces paramètres peuvent perturber les contrôles censés empêcher l’accès aux fichiers protégés ou situés hors du périmètre autorisé. Au lieu de rejeter la requête, Vite peut renvoyer le contenu demandé en clair avec une réponse HTTP 200.

Les analyses incluent également des variantes de traversée de répertoires et d’encodage. Certaines requêtes utilisent des séquences de traversée encodées deux fois, qui peuvent survivre à la normalisation effectuée par un proxy inverse ou un pare-feu applicatif avant d’atteindre Vite.

Il ne s’agit pas en soi d’une exécution de code. L’impact immédiat concerne la perte de confidentialité, mais les données dérobées peuvent fournir tout ce qui est nécessaire pour compromettre plus largement le cloud, le déploiement ou l’hôte.

Les scanners recherchent des clés cloud et des informations sur l’infrastructure

La campagne s’appuie sur des listes de mots étendues plutôt que de cibler un seul fichier. Les cibles courantes incluent .env, .env.production, .env.local et d’autres fichiers de variables d’environnement que les développeurs utilisent fréquemment pour stocker des secrets applicatifs.

Les attaquants sondent également plusieurs chemins de répertoires personnels à la recherche de fichiers de configuration AWS, d’identifiants et de copies de sauvegarde. Les identifiants et jetons d’accès Azure constituent une autre priorité.

Les données d’infrastructure as code sont particulièrement précieuses. Les fichiers d’état Terraform peuvent révéler des identifiants de ressources, la configuration des fournisseurs, l’architecture interne et des secrets stockés dans l’état. Les fichiers de variables Terraform peuvent contenir les identifiants utilisés pour provisionner ou modifier des ressources cloud. Les fichiers de configuration et d’état Serverless peuvent révéler des informations de déploiement similaires.

Les requêtes observées pendant la campagne ciblaient également des chemins du système d’exploitation tels que :

/proc/self/environ
/proc/1/environ
/proc/self/cwd/.env
/etc/passwd

Les fichiers d’environnement de /proc peuvent divulguer des secrets transmis aux processus applicatifs ou aux conteneurs au moment de leur exécution. /etc/passwd ne contient généralement pas de hachages de mots de passe, mais peut révéler des noms de comptes, des répertoires personnels, des identités de services et d’autres informations utiles pour des attaques ultérieures.

Une requête aboutie pourrait exposer des clés d’accès persistantes, des identifiants cloud temporaires, des secrets CI/CD, des clés de déploiement, des chemins internes et la configuration de l’application. Les attaquants pourraient ensuite utiliser ces identifiants indépendamment du serveur Vite, faisant apparaître leurs activités ultérieures dans les services cloud plutôt que sur l’hôte initialement touché.

Les anciennes vulnérabilités de Vite restent dans l’arsenal des attaquants

Les adresses sources les plus actives ne limitaient pas leurs requêtes à CVE-2026-39364. F5 a également observé des tentatives associées à CVE-2025-30208, CVE-2025-31125 et CVE-2024-45811.

CVE-2025-30208 affiche un score CVSS de 5,3. Elle concerne le mécanisme @fs de Vite, censé limiter l’accès aux fichiers situés en dehors de la liste autorisée de contenus à servir. Des formes de requête telles que ?raw?? et ?import&raw?? peuvent contourner ce contrôle, car les séparateurs finaux sont traités de manière incohérente lors du traitement de la requête.

La fiche produit du NVD identifie vitejs vite < 4.5.10, tandis que les informations plus détaillées sur les versions concernées indiquent des correctifs dans les versions suivantes :

• 4.5.10
• 5.4.15
• 6.0.12
• 6.1.2
• 6.2.3

CVE-2025-31125, qui affiche également un score de 5,3, utilise des formes apparentées de chaînes de requête telles que ?inline&import et ?raw?import pour exposer des fichiers qui ne devraient pas être servis. Les correctifs sont disponibles dans Vite 4.5.11, 5.4.16, 6.0.13, 6.1.3 et 6.2.4.

La CISA a ajouté CVE-2025-31125 à son catalogue KEV le 22 janvier 2026. Les agences fédérales américaines avaient jusqu’au 12 février 2026 pour appliquer les mesures correctives. L’action requise par la CISA consiste à appliquer les mesures d’atténuation du fournisseur, à suivre les recommandations applicables de la BOD 22-01 pour les services cloud ou à cesser d’utiliser le produit lorsqu’aucune mesure d’atténuation n’est disponible.

Cette inscription au catalogue KEV établit que l’exploitation des contrôles d’accès aux fichiers de Vite est antérieure à la campagne récemment signalée. Les analyses actuelles montrent que les attaquants continuent de tester plusieurs générations de la même faiblesse générale contre toutes les versions qui répondent.

CVE-2024-45811 affiche un score CVSS de 4,8. Les informations disponibles sur la campagne ne permettent pas de déterminer précisément les versions concernées ni les correctifs correspondants.

L’infrastructure cloud masque la localisation des opérateurs

Une grande partie du trafic observé était associée aux États-Unis, à la Belgique et aux Pays-Bas. Cependant, certaines requêtes transitaient par des plages d’adresses Google Cloud, ce qui limite la valeur de la géolocalisation pour l’attribution.

Les trois adresses sources malveillantes les plus actives identifiées par F5 étaient les suivantes :

34.14.15[.]105
34.16.200[.]129
34.11.196[.]206

F5 recommande de bloquer ces adresses. Les défenseurs doivent les considérer comme des indicateurs initiaux et non comme un ensemble complet de détection, car l’infrastructure d’analyse peut être remplacée rapidement.

Les requêtes ressemblant à celles de robots d’indexation ordinaires ne doivent pas être automatiquement considérées comme fiables. Un attaquant peut attribuer à sa requête un en-tête User-Agent familier ou apparemment légitime sans modifier le trafic d’exploitation sous-jacent.

Les serveurs exposés doivent être corrigés et les identifiants renouvelés

Les administrateurs doivent mettre Vite à niveau vers la dernière version disponible et vérifier que la version installée corrige chaque vulnérabilité pertinente. Pour CVE-2026-39364, cela signifie passer à une version ultérieure à Vite 7.3.2 ou utiliser Vite 8.0.5 ou une version ultérieure dans les branches documentées.

Les serveurs de développement ne doivent pas être directement accessibles depuis Internet. Les équipes doivent examiner --host, server.host, la mise en réseau des conteneurs, la publication des ports Docker, les règles de pare-feu et les environnements de test temporaires qui pourraient être restés en ligne.

L’accès externe au port TCP 5173, utilisé par le serveur de développement Vite dans cette campagne, doit être bloqué sauf exigence opérationnelle documentée. Les équipes de sécurité doivent également surveiller les requêtes contenant /@fs/, les combinaisons de paramètres connues, les séquences de traversée encodées et les sondes visant des fichiers cloud ou d’environnement.

Appliquer les correctifs ne suffit pas si un serveur vulnérable a déjà été exposé au public. Les organisations doivent partir du principe que des secrets lisibles ont pu être collectés sans laisser d’autres traces que celles d’un accès HTTP ordinaire dans les journaux.

Les identifiants AWS potentiellement exposés, les jetons Azure, les secrets CI/CD, les variables d’environnement, les identifiants Terraform, les secrets de déploiement Serverless et les clés applicatives doivent être révoqués ou renouvelés. Les journaux d’audit cloud doivent ensuite être vérifiés afin de détecter toute authentification inattendue, découverte de ressources, modification de privilèges ou utilisation depuis une infrastructure inconnue.

Les artefacts Terraform et Serverless doivent également faire l’objet d’un contrôle d’intégrité. Des attaquants ayant obtenu des identifiants opérationnels pourraient avoir modifié des ressources cloud sans toucher à l’hôte Vite lui-même.

La question essentielle n’est pas simplement de savoir si une exploitation apparaît dans les journaux locaux. Il faut déterminer si le serveur de développement pouvait renvoyer des fichiers sensibles pendant la période où il était accessible. Si c’est le cas, la réponse à incident doit être menée comme une investigation portant sur une exposition d’identifiants.