Des pirates informatiques ciblent les serveurs de développement Vite exposés pour voler des secrets d'AWS et d'Azure.
infohightech ·
Une campagne de scanning massif ciblant les serveurs de développement Vite exposés sur Internet tente de voler les identifiants et les configurations cloud des déploiements AWS et Azure.
L'opération exploite une vulnérabilité CVE-2026-39364, une vulnérabilité de haute gravité qui permet de contourner les contrôles de lecture/accès aux fichiers dans les versions 7.1.0 à 7.3.2 de Vite, ainsi que dans la branche 8.x antérieure à la version 8.0.5.
La faille a été révélée le 7 avril et permet à un attaquant non authentifié de manipuler les paramètres de requête d'une requête HTTP GET afin de contourner les restrictions de sécurité et de récupérer des fichiers en clair à partir d'emplacements qui devraient normalement être hors de sa portée.
La société technologique F5 a détecté les attaques grâce à ses capteurs honeypot, observant plus de 800 attaques et environ 32 000 événements bruts sur une période d'un mois.
« Lorsque des paramètres spécifiques tels que ?raw, ?import&raw ou ?import&url&inline sont ajoutés à une requête, le serveur ne parvient pas à appliquer le filtrage de la liste de refus et sert le fichier cible avec une réponse HTTP 200 », explique F5.
Après avoir pénétré un système, l'analyse s'est concentrée sur les secrets les plus précieux en utilisant des listes de mots exhaustives pour les types de données suivants :
- .env, .env.production, .env.local et autres fichiers d'environnement
- Fichiers d'identification AWS provenant de plusieurs répertoires personnels possibles
- Sauvegardes des fichiers de configuration AWS et des identifiants
- Informations d'identification et jetons d'accès Azure
- Fichiers d'état et de variables Terraform
- Configuration/état sans serveur
- /proc/self/environ, /proc/1/environ et /proc/self/cwd/.env
- /etc/passwd
F5 note que l'opération a également essayé des variantes de parcours et d'encodage, y compris des séquences de parcours à double encodage, apparemment pour contourner les proxys inverses ou la normalisation WAF.
La plupart des activités malveillantes observées provenaient des États-Unis, de la Belgique et des Pays-Bas, les attaquants utilisant les plages d'adresses IP de Google Cloud pour contourner les contrôles.
Les adresses IP les plus actives ont également exploité d'autres failles de contrôle d'accès dans Vite : CVE-2025-30208, CVE-2025-31125 ( signalée comme activement exploitée ) et CVE-2024-45811.
Comment protéger Vite
Bien que Vite se lie normalement à localhost, les chercheurs de F5 affirment que les développeurs l'exposent souvent en ligne en passant l'option --host, en définissant server.host ou en configurant mal les mappages de ports Docker.
L'entreprise technologique recommande de mettre à jour les serveurs Vite vers la dernière version, qui corrige les failles exploitées. Les développeurs doivent également bloquer l'accès via le port 5173, bloquer les requêtes suspectes de type /@fs/ et éviter de faire confiance aux chaînes User-Agent des robots d'exploration.
Les principales sources des tentatives malveillantes sont 34.14.15[.]105, 34.16.200[.]129 et 34.11.196[.]206, qui devraient être bloquées.
Si des serveurs Vite non patchés étaient exposés publiquement, il est recommandé de faire tourner toutes les clés secrètes accessibles au système vulnérable.