Mobile-Menu

Großangelegte Scan-Kampagne Angreifer suchen über offene Vite-Server nach AWS- und Azure-Secrets

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

cidaas by Widas ID GmbH
FTAPI Software GmbH

Eine großangelegte Angriffskampagne zielt auf öffentlich erreichbare Vite-Entwicklungsserver. Nach Angaben von F5 nutzen die Angreifer einen Access-Control-Bypass, um unteranderem Dateizugriffsregeln zu umgehen.

F5 beobachtete eine Scan-Kampagne gegen öffentlich erreichbare Vite-Entwicklungsserver. Angreifer hätten dabei nach Umgebungsdateien, Cloud-Zugangsdaten und Infrastrukturkonfigurationen gesucht.(Bild: KI-generiert)
F5 beobachtete eine Scan-Kampagne gegen öffentlich erreichbare Vite-Entwicklungsserver. Angreifer hätten dabei nach Umgebungsdateien, Cloud-Zugangsdaten und Infrastrukturkonfigurationen gesucht.
(Bild: KI-generiert)

F5 registrierte über seine Honeypot-Sensoren im August mehr als 32.000 Versuche, sensible Dateien von öffentlich erreichbaren Vite-Entwicklungsservern auszulesen. Sie verteilten sich auf 807 Angriffssitzungen. In den drei Monaten zuvor habe F5 insgesamt nur 1.732 solcher Versuche gezählt. Im Fokus hätten dabei vor allem Cloud-Zugangsdaten gestanden. Allein nach der AWS-Schlüsseldatei „.aws/credentials“ hätten die Angreifer in rund einem Dutzend verschiedener Ablageorte gesucht. Auch Azure-Zugangsdaten und Access Tokens seien ein begehrtes Ziel gewesen.

Vite ist eines der meistgenutzten Build-Werkzeuge für moderne Web-Oberflächen und kommt unter anderem in Projekten mit React, Vue oder Svelte zum Einsatz. Sein Entwicklungsserver ist für den lokalen Gebrauch konzipiert, nicht für den Betrieb im offenen Netz.

Für ihre Angriffe hätten die bisher nicht identifizierten Akteure die Schwachstelle EUVD-2026-19873 / CVE-2026-39364 (CVSS-Score 8.2, EPSS-Score* 2.00) ausgenutzt. Sie betrifft Vite in den Versionen 7.1.0 bis vor 7.3.2 sowie die 8.x-Reihe vor Version 8.0.5. Ein nicht authentifizierter Angreifer kann laut F5 über manipulierte HTTP-Anfragen die Zugriffskontrollen umgehen und Dateien im Klartext abrufen, die eigentlich nicht erreichbar sein sollten.

.env-Dateien, Cloud-Credentials und Terraform im Visier

Die beobachtete Kampagne hätte sich nach einer erfolgreichen Umgehung der Zugriffskontrollen auf besonders wertvolle Dateien und Konfigurationen konzentriert. Dazu würden unter anderem diese zählen:

  • .env-Dateien und weitere Umgebungsvariablen
  • AWS-Credentials, Konfigurationsdateien und Sicherungen
  • Azure-Zugangsdaten und Access Tokens
  • Terraform-State-Dateien und Variablen
  • Serverless-Konfigurationen
  • Prozessumgebungen unter Linux
  • lokale Systemdateien wie /etc/passwd

Der Zugriff auf solche Daten kann Angreifern Zugang zu Cloud-Accounts, CI/CD-Umgebungen, Infrastrukturressourcen und produktiven Anwendungen verschaffen. Besonders kritisch sind Secrets in .env-Dateien oder Infrastructure-as-Code-Artefakten, weil sie oft API-Schlüssel, Passwörter, Tokens oder Cloud-Identitäten enthalten.

Entwicklungsserver werden häufig unbeabsichtigt öffentlich

Vite bindet Entwicklungsserver standardmäßig an localhost. In der Praxis werden sie laut F5 jedoch häufig durch den Einsatz des „--host“-Parameters, die Konfiguration von server.host oder fehlerhafte Docker-Port-Mappings aus dem Internet erreichbar.

Damit würden eigentlich für lokale Entwicklung gedachte Dienste zu einem potenziellen Angriffsziel. Die beobachteten Scans testeten laut F5 auch unterschiedliche Traversal- und Encoding-Varianten, offenbar um Filtermechanismen von Reverse Proxies oder Web Application Firewalls zu umgehen. Die aktivsten Quellen der beobachteten Angriffe lagen nach Angaben von F5 in Google-Cloud-IP-Bereichen. Die meisten Aktivitäten würden aus den USA, Belgien und den Niederlanden stammen.

Update und Abschottung empfohlen

Betreiber sollten Vite auf eine abgesicherte Version aktualisieren. Für EUVD-2026-19873 / CVE-2026-39364 stehen die Fixes mit Vite 7.3.2 und 8.0.5 bereit.

F5 empfiehlt zusätzlich, öffentlich erreichbare Entwicklungsserver nach Möglichkeit vollständig vom Internet abzuschotten. Der Zugriff über Port 5173 sollte eingeschränkt und verdächtige Anfragen an den„ /@fs/“-Pfad auf WAF- oder Proxy-Ebene blockiert werden.

Waren ungepatchte Vite-Server öffentlich erreichbar, sollten Organisationen alle Secrets rotieren, die auf dem betroffenen System gespeichert oder von dort aus erreichbar waren. Dazu gehören insbesondere Cloud-Credentials, API-Schlüssel, Tokens und Infrastrukturkonfigurationen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

(ID:50954917)

Weiterführende Inhalte