黑客针对暴露的 Vite 开发服务器窃取 AWS、Azure 机密信息

一场针对暴露于互联网的 Vite 开发服务器的大规模扫描活动，正试图从 AWS 和 Azure 部署中窃取云凭据和配置。

该行动利用了 CVE-2026-39364 的漏洞利用程序，这是一个高危漏洞，允许在 Vite 7.1.0 至 7.3.2 版本以及 8.0.5 之前的 8.x 分支中绕过文件读取/访问控制。

该漏洞于 4 月 7 日披露，允许未经身份验证的攻击者操纵 HTTP GET 请求中的查询参数，以绕过安全限制并以明文形式从通常无法触及的位置检索文件。

科技公司 F5 通过其蜜罐传感器检测到这些攻击，在一个月内观察到 800 多次攻击和约 32,000 个原始事件。

"当特定参数（如 ?raw、?import&raw 或 ?import&url&inline）附加到请求时，服务器未能执行拒绝列表过滤，并以 HTTP 200 响应提供目标文件，"F5 解释道。

在入侵一个系统后，扫描通过使用针对以下类型数据的大型字典进行，聚焦于有价值的机密信息：

• .env、.env.production、.env.local 及其他环境文件
• 来自多个可能主目录的 AWS 凭据文件
• AWS 配置文件和凭据备份
• Azure 凭据和访问令牌
• Terraform 状态和变量文件
• 无服务器 (Serverless) 配置/状态

F5 指出，该行动还尝试了路径遍历和编码变体，包括双重编码的遍历序列，显然是为了绕过反向代理或 WAF 规范化。

大部分观察到的恶意活动源自美国、比利时和荷兰，攻击者使用 Google Cloud IP 段进行规避。

最活跃的 IP 地址还利用了 Vite 中的其他访问控制缺陷：CVE-2025-30208、CVE-2025-31125（被标记为已被积极利用）和 CVE-2024-45811。

如何保护 Vite

尽管 Vite 通常绑定到 localhost，F5 研究人员称，开发者常常通过传递 --host 标志、设置 server.host 或错误配置的 Docker 端口映射将其暴露到线上。

这家科技公司建议将 Vite 服务器更新至修复了被利用漏洞的最新版本。开发者还应封锁通过端口 5173 的访问、封锁可疑的 /@fs/ 请求，并避免信任爬虫 User-Agent 字符串。

恶意尝试的主要来源为 34.14.15[.]105、34.16.200[.]129 和 34.11.196[.]206，应将其列入黑名单。

如果未修补的 Vite 服务器曾被公开暴露，建议轮换易受攻击系统可触及的所有机密信息。