Zdjęcie: © Aaron McLean / Unsplash
Źródło: unsplash.com/photos/pf7BliMKKxM
Masowa kampania skanuje serwery deweloperskie Vite, które zostały wystawione bezpośrednio do internetu. Atakujący próbują wykorzystać podatność w tym narzędziu, aby odczytywać pliki i wyszukiwać w nich poświadczenia, sekrety oraz konfiguracje związane z usługami AWS i Azure. Aktywność wykryła firma F5 za pomocą sensorów honeypot. W ciągu miesiąca zarejestrowano ponad 800 ataków oraz około 32 tysięcy surowych zdarzeń.
Kampania wykorzystuje CVE-2026-39364, podatność o wysokim poziomie zagrożenia w Vite. Luka dotyczy wersji od 7.1.0 do 7.3.2 oraz gałęzi 8.x przed wydaniem 8.0.5. Została ujawniona 7 kwietnia. Błąd pozwala nieuwierzytelnionemu napastnikowi odpowiednio zmodyfikować parametry żądania HTTP GET i ominąć mechanizmy ograniczające dostęp do plików. W efekcie serwer może zwrócić w formie tekstowej zawartość z lokalizacji, które normalnie powinny być niedostępne.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
System oznaczania i katalogowania publicznie znanych podatności w oprogramowaniu. Numer CVE jednoznacznie identyfikuje konkretny błąd bezpieczeństwa.
Kontrolowane środowisko lub urządzenie wystawione na działanie sieci, aby obserwować próby ataku i rejestrować używane przez napastników metody.
Web Application Firewall, czyli WAF, filtruje ruch kierowany do aplikacji internetowej i może blokować podejrzane żądania.
Po znalezieniu podatnego serwera skanowanie koncentrowało się na danych mogących zawierać sekrety i konfiguracje usług chmurowych. Badacze F5 zaobserwowali także warianty prób obchodzenia filtrów dostępu i normalizacji ruchu przez reverse proxy oraz zapory WAF. Część źródeł korzystała z zakresów adresów Google Cloud, co mogło utrudniać odróżnienie złośliwej aktywności od zwykłego ruchu pochodzącego z infrastruktury chmurowej.
Te same najbardziej aktywne źródła wykorzystywały również inne błędy kontroli dostępu w Vite: CVE-2025-30208, CVE-2025-31125 oraz CVE-2024-45811. W przypadku CVE-2025-31125 odnotowano oznaczenie wskazujące na aktywne wykorzystywanie. Źródło nie podaje liczby potwierdzonych przejęć, dlatego zarejestrowane przez F5 zdarzenia należy traktować jako obserwowane próby ataków.
F5 zaleca zaktualizowanie serwerów Vite do najnowszej wersji zawierającej poprawki. Administratorzy powinni również sprawdzić, czy serwer deweloperski jest rzeczywiście potrzebny w internecie. Vite zwykle nasłuchuje tylko lokalnie, ale może zostać wystawiony przez ustawienia hosta albo nieprawidłowe mapowanie portów w Dockerze. Warto ograniczyć dostęp do portu 5173, monitorować podejrzane żądania do ścieżek /@fs/ oraz nie traktować identyfikatora User-Agent jako wiarygodnego dowodu, że ruch pochodzi od legalnego robota.
Jeśli podatny serwer był publicznie dostępny, samo zainstalowanie poprawki może nie wystarczyć. F5 rekomenduje obrót wszystkich sekretów, które mogły znajdować się w zasięgu zagrożonego środowiska. Dotyczy to w szczególności danych wykorzystywanych do połączeń z AWS i Azure. Organizacje powinny także przejrzeć logi serwera oraz aktywność powiązanych usług, aby ustalić, czy doszło do nieautoryzowanego odczytu lub użycia danych.
Brak komentarzy. Bądź pierwszy!