Massenscans von Vite-Servern zum Diebstahl von Cloud-Zugangsdaten – was bekannt ist und wie man sich schützt

Im August 2026 hat F5 Labs eine groß angelegte Kampagne automatisierter Scans beobachtet, die auf im Internet exponierte Vite-Entwicklungsserver abzielt. Die Angreifer nutzen die Schwachstelle CVE-2026-39364 aus – eine Umgehung von Dateizugriffsbeschränkungen, die es erlaubt, ohne Authentifizierung vertrauliche Daten auszulesen: Umgebungsvariablen, AWS- und Azure-Zugangsdaten sowie Infrastruktur-State-Dateien (Terraform, Serverless). Die Schwachstelle betrifft Vite in den Versionen 7.1.0–7.3.1 und 8.0.0–8.0.4; Patches stehen in den Versionen 7.3.2 und 8.0.5 zur Verfügung. Organisationen, die Vite mit Netzwerkzugriff auf den Entwicklungsserver einsetzen, sollten umgehend ein Update durchführen und ihre Secrets rotieren, wenn der Server im August 2026 von außen erreichbar war.

Technischer Hintergrund der Schwachstelle

CVE-2026-39364 ist eine Schwachstelle für nicht authentisiertes Dateiauslesen und die Umgehung von Zugriffskontrolllisten im Vite-Entwicklungsserver. Laut dem offiziellen Sicherheitshinweis von Vite werden Dateien, die durch die Direktive server.fs.deny blockiert werden sollten (zum Beispiel .env, *.crt), mit einem HTTP-Status 200 ausgeliefert, wenn den Anfragen die Parameter ?raw, ?import&raw oder ?import&url&inline hinzugefügt werden. Ein Angreifer sendet einen HTTP-GET-Request an den Endpunkt /@fs/, gibt den Pfad zur Zieldatei und einen der Umgehungsparameter an, woraufhin der Server den Inhalt der Datei im Klartext zurückliefert.

Der Vite-Sicherheitshinweis klassifiziert die Schwachstelle als CWE-180 (falsche Reihenfolge: Validierung vor Kanonisierung) und CWE-284 (unzureichende Zugriffskontrolle). Die Einstufung der Schwere ist uneinheitlich: Der Vite-Hinweis auf GitHub weist einen CVSS 8.2 (High) nach CVSS v4 aus, während F5 Labs in seinem Bericht einen CVSS 7.5 (High) angibt. Beide Bewertungen fallen in die Kategorie „hoch“, aber die Abweichung sollte bei der Priorisierung berücksichtigt werden. Ein Eintrag ist in der NVD verfügbar.

Wichtig ist zu verstehen, dass die tatsächliche Angriffsfläche kleiner ist als die gesamte Basis aller Vite-Installationen. Eine Anwendung ist nur dann verwundbar, wenn gleichzeitig drei Bedingungen erfüllt sind:

• Der Vite-Entwicklungsserver ist explizit ins Netzwerk/Internet exponiert – über den Flag --host, die Einstellung server.host oder ein fehlerhaftes Port-Mapping des Docker-Containers
• Die anvisierte vertrauliche Datei befindet sich in Verzeichnissen, die in server.fs.allow erlaubt sind
• Dieselbe Datei wird durch ein Muster in server.fs.deny blockiert

Standardmäßig bindet Vite an localhost, was eine Remote-Exploitation ausschließt. Entwickler öffnen den Server jedoch häufig für Tests ins Netzwerk, wodurch der Angriffsvektor überhaupt erst entsteht.

Beobachtete Kampagne

Laut F5 Labs verzeichneten Honeypot-Sensoren im August 2026 807 Sitzungsangriffe und rund 32.000 Rohereignisse, die mit dem Scannen exponierter Vite-Server in Verbindung stehen. Dabei ist zu betonen: Es handelt sich um Telemetriedaten eines einzelnen Beobachters, die das Vorhandensein automatisierter Scans und gezielter Aufklärung bestätigen, jedoch keinesfalls den erfolgreichen Diebstahl von Zugangsdaten oder die Kompromittierung von Cloud-Konten bei konkreten Opfern belegen. Unabhängige Bestätigungen zum Umfang der Kampagne durch andere Forschungsorganisationen lagen zum Zeitpunkt der Veröffentlichung nicht vor.

Die Scanner arbeiteten eine vorbereitete Liste von Dateipfaden ab, darunter:

• Umgebungskonfigurationen: .env, .env.local, .env.production, .env.development, .env.staging
• AWS-Zugangsdaten: /root/.aws/credentials, /home/ec2-user/.aws/credentials
• AWS-Konfigurationen und Backups
• Infrastruktur-State-Dateien: terraform.tfstate, serverless.yml
• Azure-Profile
• Systemdaten: /etc/passwd, /proc/self/environ, /proc/1/environ, /proc/self/cwd/.env

Der Zugriff auf /proc/self/cwd/.env zeigt laut F5, dass die Angreifer den Deployment-Stack verstehen: Die Anfrage liest die Datei .env relativ zum Arbeitsverzeichnis des Prozesses, ohne dass der absolute Pfad geraten werden muss.

Taktiken zur Verschleierung

Die Angreifer setzten gefälschte User-Agent-Header ein, die legitime Webcrawler und KI-Bots imitieren: Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot, Amazonbot. Parallel dazu wurden fiktive Werte für X-Forwarded-For und X-Real-IP verwendet, um IP-basierte Zugriffskontrolllisten zu umgehen und die Log-Analyse zu erschweren. Dies schafft eine praktische Möglichkeit zur Erkennung: Die Korrelation von Anfragen an /@fs/ mit den Parametern raw/import, Headern bekannter Bots und verdächtigen Weiterleitungs-Headern kann als verlässliches Signal für bösartige Aktivität dienen.

Nach Angaben von F5 stammte der Großteil des Traffics aus den USA, Belgien, den Niederlanden, Singapur und Taiwan, mit einem erheblichen Anteil an Adressen aus den Blöcken von Google Cloud Platform (34.x und 35.x). Die geografische Verteilung beschreibt jedoch die Infrastruktur der Quellen und nicht den physischen Standort oder die Identität der Angreifer. Eine namentlich benannte Gruppe wurde nicht identifiziert. F5 merkt außerdem an, dass derselbe Quellcluster auch Anfragen generierte, die auf CVE-2025-29927 abzielten, was auf Framework-übergreifende Scans hinweist.

F5 ordnet das beobachtete Verhalten nach MITRE ATT&CK ein: T1595.002 (scanning for vulnerabilities), T1190 (exploit public-facing application), T1552.001 (credentials in files), T1005 (data from local system) und T1083 (file and directory discovery).

Indikatoren einer Kompromittierung

Mit der Kampagne in Verbindung gebrachte IP-Adressen (laut F5 Labs):

• 34.94.237.62
• 104.28.219.193
• 34.14.15.105
• 34.16.200.129
• 34.11.196.206

Bewertung der Auswirkungen

Am stärksten gefährdet sind Entwicklungsteams, die Vite-Server für Zusammenarbeit, Tests oder Demos ins Netzwerk öffnen – insbesondere in Umgebungen mit Zugriff auf Cloud-Zugangsdaten. Eine erfolgreiche Ausnutzung kann zur Offenlegung von API-Schlüsseln, Datenbankpasswörtern, administrativen Zugangsdaten von Cloud-Providern und Infrastruktur-State-Dateien führen, was im schlimmsten Fall den vollständigen Zugriff auf ein Cloud-Konto ermöglicht.

Empfehlungen

1. Aktualisieren Sie Vite auf die Versionen 7.3.2, 8.0.5 oder neuere Patch-Releases
2. Schließen Sie den Netzwerkzugang zu Entwicklungs-, Build- und Staging-Servern – sie sollten nicht aus dem Internet erreichbar sein
3. Führen Sie eine Rotation der Secrets durch, wenn der Vite-Server im August 2026 von außen zugänglich gewesen sein könnte: Ersetzen Sie AWS-Schlüssel, Azure-Tokens, Datenbankpasswörter und andere Zugangsdaten, die in Umgebungsdateien gespeichert waren
4. Richten Sie eine Filterung ein für Anfragen an /@fs/ mit den Parametern ?raw, ?import&raw, ?import&url&inline auf Ebene von WAF oder Reverse-Proxy
5. Überprüfen Sie die Logs auf Anfragen an /@fs/ mit den genannten Parametern, insbesondere von User-Agents, die Suchbots imitieren, in Kombination mit verdächtigen X-Forwarded-For-Headern

Die zentrale Maßnahme ist die sofortige Aktualisierung von Vite und die Beendigung des Netzwerkkontakts zu Entwicklungsservern. War Ihr Server im Zeitraum der Kampagnenaktivität im Internet exponiert, reicht ein Update allein nicht aus: Es ist eine vollständige Rotation aller Secrets erforderlich, die sich in zugänglichen Verzeichnissen befunden haben könnten, da sich anhand der vorliegenden Daten nicht ausschließen lässt, dass sie abgeflossen sind.