Campanha mira servidores Vite expostos na internet
Pesquisadores de cibersegurança divulgaram detalhes de uma campanha de varredura em massa que tem como alvo implantações do Vite para extrair dados sensíveis.
Uma ação automatizada voltada a servidores de desenvolvimento Vite expostos na internet foi identificada, sendo projetada para roubar credenciais de nuvem, configurações de instâncias da Amazon Web Services (AWS, plataforma de computação em nuvem da Amazon) e do Microsoft Azure (plataforma de computação em nuvem da Microsoft), além de arquivos de estado de infraestrutura, de acordo com a F5 Labs.
Detalhes da vulnerabilidade explorada
A atividade de coleta de credenciais, observada em agosto de 2026, foi identificada explorando a CVE-2026-39364 (Vulnerabilidades e Exposições Comuns, sistema público de identificação de falhas de segurança), que recebeu pontuação CVSS (Common Vulnerability Scoring System, sistema padrão de classificação de severidade) de 8,2. Trata-se de uma falha de alta severidade no Vite que pode permitir a um atacante sem autenticação burlar restrições de segurança por meio da manipulação de parâmetros de consulta e vazar dados sensíveis, incluindo arquivos especificados por server.fs.deny.
"No servidor de desenvolvimento Vite, arquivos que deveriam ser bloqueados por server.fs.deny (por exemplo, .env, *.crt) podem ser recuperados com respostas HTTP (protocolo de transferência de hipertexto) 200 quando parâmetros de consulta como ?raw, ?import&raw ou ?import&url&inline são adicionados", afirmou o Vite em um comunicado sobre a falha publicado em abril de 2026.
Condições necessárias para a exploração
A exploração bem-sucedida, no entanto, exige que três condições sejam atendidas para que um aplicativo seja considerado afetado:
- Expor explicitamente o servidor de desenvolvimento Vite à rede por meio da opção --host ou da configuração server.host.
- O arquivo sensível existir nos diretórios permitidos especificados por server.fs.allow.
- O arquivo sensível ser negado por um padrão que corresponda a um arquivo por server.fs.deny.
"Nas configurações padrão, o Vite se vincula ao localhost", explicou a F5 Labs. "Quando os desenvolvedores expõem o serviço passando o sinalizador --host, definindo server.host ou configurando incorretamente o mapeamento de portas de contêiner Docker, o servidor de desenvolvimento se torna diretamente acessível na rede local ou na internet pública."
Como os ataques operam
Os atacantes podem emitir uma requisição HTTP (protocolo de transferência de hipertexto) do tipo GET ao endpoint /@fs/, fazendo referência a um caminho de arquivo sensível e adicionando parâmetros de consulta que contornam a proteção. Isso faz com que o servidor processe a requisição, contornando a verificação de server.fs.deny e, por fim, retornando o conteúdo do arquivo solicitado em texto simples no corpo da resposta HTTP.
Isso pode ter implicações graves quando a requisição é usada para atingir diretórios de configuração, concedendo aos atacantes acesso não autorizado a segredos de API (Application Programming Interface, interface de programação de aplicativos), senhas de banco de dados e credenciais administrativas de nuvem. A F5 disse que observou diversas requisições compatíveis com a falha para realizar reconhecimento e extrair os seguintes tipos de dados:
- Configurações de ambiente;
- Credenciais da AWS;
- Configurações e backups da AWS;
- Arquivos de estado de infraestrutura (por exemplo, terraform.tfstate e serverless.yml);
- Perfis do Azure;
- Memória do sistema e detalhes de ambiente (por exemplo, /etc/passwd, /proc/self/environ, /proc/1/environ e /proc/self/cwd/.env).
"Investigar /proc/self/cwd/.env demonstra um entendimento da pilha de implantação, lendo o arquivo .env ativo relativo ao processo em execução sem precisar adivinhar o caminho absoluto da aplicação web", afirmou a F5.
Técnicas de camuflagem e origens
As requisições utilizam cabeçalhos User-Agent (campo que identifica o software que faz a requisição) falsos se passando por grandes rastreadores da web e bots de inteligência artificial, como Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot e Amazonbot. As requisições também injetam valores forjados de X-Forwarded-For e X-Real-IP (cabeçalhos HTTP usados para identificar o endereço IP de origem do cliente), por exemplo, 34.94.237.62 e 104.28.219.193, para contornar listas de acesso baseadas em IP (Internet Protocol, protocolo de internet) e dificultar a análise de registros.
Uma parcela significativa da atividade maliciosa se originou nos Estados Unidos, Bélgica, Holanda, Singapura e Taiwan, com os atacantes utilizando faixas de endereços do Google Cloud Platform (plataforma de nuvem do Google, faixas 34.x e 35.x) para passar despercebidos.
