Chiến dịch quét diện rộng khai thác lỗi Vite để lấy thông tin xác thực đám mây
"Researchers reported a mass-scanning campaign targeting exposed Vite development servers to steal sensitive files and cloud credentials. The activity exploits CVE-2026-39364, a high-severity flaw that can bypass server.fs.deny protections via crafted query parameters and return blocked files such as .env, AWS/Azure credentials, and infrastructure state files in plaintext. The issue affects deployments where the Vite dev server is exposed beyond localhost; mitigation is to avoid public exposure and apply the vendor fix for the vulnerability."
Rủi ro cao do rò rỉ bí mật đám mây, vượt qua kiểm soát truy cập tệp, và khả năng bị khai thác từ xa trên các máy chủ phát triển bị lộ Internet.
Có thể dẫn đến lộ khóa API, mất quyền kiểm soát hạ tầng và phát sinh sự cố vận hành nếu các tệp cấu hình hoặc thông tin xác thực bị thu thập.
Các nhà nghiên cứu an ninh đã ghi nhận một chiến dịch quét diện rộng nhắm vào các Vite development server bị lộ ra Internet để thu thập dữ liệu nhạy cảm, gồm thông tin xác thực AWS/Azure, cấu hình và các tệp trạng thái hạ tầng. Hoạt động này khai thác CVE-2026-39364 với mức CVSS 8.2, cho phép kẻ tấn công chưa xác thực vượt qua cơ chế server.fs.deny bằng cách chèn các query parameter được tạo đặc biệt, từ đó đọc các tệp vốn bị chặn như .env, chứng chỉ và tệp cấu hình dưới dạng văn bản thuần.
Theo báo cáo, lỗ hổng chỉ bị khai thác khi Vite dev server được cấu hình lộ ra ngoài localhost, chẳng hạn qua --host, server.host hoặc cấu hình sai ánh xạ cổng trong Docker. Khi đó, yêu cầu tới /@fs/ có thể trả về nội dung tệp nhạy cảm trong phản hồi HTTP 200.
Nhóm nghiên cứu cũng quan sát thấy các yêu cầu giả mạo User-Agent của bot tìm kiếm và AI, đồng thời chèn X-Forwarded-For và X-Real-IP giả để né kiểm soát theo IP và gây khó khăn cho phân tích log.
Khuyến nghị: không công khai Vite dev server, rà soát cấu hình triển khai, và áp dụng bản vá của nhà cung cấp càng sớm càng tốt.