Mass-Scanning Campaign Exploits Vite Flaw to Extract Cloud Credentials From Exposed Dev Servers

Campagne de scans massifs exploitant une faille critique dans Vite

Une campagne de cyberattaques automatisées cible actuellement les serveurs de développement Vite exposés sur Internet. Les attaquants exploitent une vulnérabilité permettant de contourner les restrictions d’accès pour exfiltrer des identifiants cloud, des clés d’API et des fichiers de configuration sensibles.

Points clés :

• Mode opératoire : Les attaquants utilisent des requêtes HTTP GET falsifiées vers le point de terminaison /@fs/ en ajoutant des paramètres de requête spécifiques (?raw, ?import&raw, etc.) pour court-circuiter les protections de fichiers.
• Dissimulation : Pour échapper aux détections, les attaquants usurpent l’identité de robots légitimes (Googlebot, ClaudeBot, etc.) et falsifient les en-têtes X-Forwarded-For.
• Impact : Vol de secrets AWS/Azure, fichiers Terraform, variables d’environnement (.env) et accès à des données système sensibles.

Vulnérabilité :

• CVE-2026-39364 (Score CVSS : 8.2) : Une faille dans Vite qui permet à un attaquant non authentifié de lire des fichiers normalement restreints par la directive server.fs.deny.

Conditions d’exploitation :

1. Le serveur Vite est exposé sur le réseau (via --host ou une configuration de conteneur Docker).
2. Le fichier visé se trouve dans les répertoires autorisés (server.fs.allow).
3. Le fichier est normalement protégé par server.fs.deny.

Recommandations :

• Ne jamais exposer les serveurs de développement Vite sur le réseau public.
• Si l’exposition est nécessaire pour des tests, utilisez un tunnel sécurisé (VPN, Cloudflare Tunnel) ou une authentification au niveau du réseau.
• Maintenez Vite à jour vers la version corrigée pour bénéficier des derniers correctifs de sécurité.
• Surveillez les logs serveurs pour détecter des requêtes suspectes incluant des paramètres de requête inhabituels associés au point de terminaison /@fs/.

Source