Acest conținut a fost generat cu ajutorul inteligenței artificiale și publicat fără o verificare umană prealabilă. Poate conține erori și nu constituie consultanță profesională. Semnalați o problemă: info@delionsoft.com.
O campanie de scanare în masă vizează serverele de dezvoltare Vite accesibile de pe internet și încearcă să extragă datele de autentificare pentru serviciile cloud de pe acestea. Conform raportului inițial, F5 a înregistrat această activitate pe senzorii săi de tip honeypot: aproximativ 800 de atacuri și circa 32.000 de evenimente brute pe parcursul unei luni. Atacatorii exploatează CVE-2026-39364, o vulnerabilitate de gravitate ridicată care permite ocolirea controlului accesului la fișiere, și reutilizează, de asemenea, mai multe vulnerabilități mai vechi ale Vite.
Ce s-a întâmplat
Vulnerabilitatea CVE-2026-39364 afectează versiunile Vite de la 7.1.0 până la 7.3.2 și ramura 8.x anterioară versiunii 8.0.5 și a fost dezvăluită pe 7 aprilie. O cerere neautentificată la care sunt adăugați anumiți parametri de interogare — ?raw, ?import&raw și variante similare — face ca serverul de dezvoltare să omită filtrarea listei de respingeri și să returneze fișierul solicitat în text simplu, cu un răspuns HTTP 200.
Odată ce un server vulnerabil a răspuns, scanerele au parcurs liste lungi de cuvinte menite să identifice informații confidențiale: fișiere .env și variantele lor de producție și locale, fișiere de credențiale și de configurare AWS în mai multe directoare de bază posibile, copii de rezervă ale credențialelor, credențiale și token-uri de acces Azure, fișiere de stare și variabile Terraform, configurație și stare serverless, plus /proc/self/environ, /proc/1/environ și /etc/passwd. Campania a încercat, de asemenea, traversarea căilor și secvențe de traversare cu codificare dublă, pe care F5 le interpretează ca o încercare de a ocoli normalizarea proxy-ului invers sau a WAF-ului.
Cea mai mare parte a traficului a provenit din Statele Unite, Belgia și Țările de Jos, fiind utilizate intervale de adrese IP ale Google Cloud pentru a se camufla. Cele mai active surse au exploatat, de asemenea, vulnerabilități mai vechi de control al accesului din Vite — CVE-2025-30208, CVE-2025-31125 (marcate ca fiind exploatate activ) și CVE-2024-45811.
Vite se conectează la localhost în mod implicit. Raportul menționează motivele obișnuite pentru care serverele ajung oricum să fie publice: opțiunea --host, o setare explicită server.host sau mapări de porturi Docker care publică mai mult decât se intenționează.
De ce este important
Nu este vorba de un atac asupra infrastructurii de producție; este un atac asupra mașinii dezvoltatorului, a mașinii de testare partajate sau a containerului pe care cineva l-a pornit pentru a demonstra o ramură. Aceste medii sunt locurile în care tind să se afle cheile cloud cu privilegii complete, starea Terraform și fișierele .env necurățate, iar ele sunt rareori acoperite de controalele aplicate mediului de producție. Un singur fișier .env care poate fi citit poate dezvălui o identitate AWS sau Azure care are mult mai multe permisiuni decât frontend-ul pe care ar fi trebuit să îl deservească.
Volumul contează, de asemenea. Este vorba de o scanare nediscriminatorie, așa că expunerea nu trebuie să fie de lungă durată sau bine cunoscută pentru a fi descoperită. Este suficient ca un server de dezvoltare să fie lăsat pe --host în interiorul unei mașini virtuale din cloud pentru o după-amiază.
Ce trebuie făcut
- Actualizați Vite la o versiune care remediază vulnerabilitatea CVE-2026-39364 — 7.3.3 sau o versiune ulterioară din seria 7.x, 8.0.5 sau o versiune ulterioară din seria 8.x — și verificați ce depozite (repository) încă utilizează versiunile afectate.
- Inventariați orice ascultă pe portul 5173 din exteriorul rețelei dvs., inclusiv mapările de porturi Docker și mașinile virtuale din cloud utilizate pentru previzualizări. Blocați portul la perimetru și tratați orice server de dezvoltare public ca pe o configurare greșită care trebuie remediată, nu protejată cu un firewall.
- Dacă un server vulnerabil a fost expus, presupuneți că secretele la care acesta ar putea avea acces sunt compromise și înlocuiți-le: cheile de acces la cloud, tokenurile, orice se află în starea Terraform. F5 sugerează, de asemenea, blocarea cererilor suspecte de tip
/@fs/și neacordarea încrederii pe baza șirurilor User-Agent ale crawlerelor. - Opriți trimiterea cheilor cloud cu durată lungă de viață către mașinile dezvoltatorilor. Credențialele cu durată scurtă de viață prin SSO sau OIDC limitează valoarea oricărui element care se scurge în acest mod.