インターネットに公開されたVite開発サーバーを標的とする大規模スキャンキャンペーンが確認されており、AWSおよびAzureの環境からクラウド認証情報や設定情報を窃取しようとしています。
この攻撃活動は、Viteのバージョン7.1.0から7.3.2まで、および8.0.5より前の8.x系列に存在する、ファイルの読み取り・アクセス制御を回避できる深刻度の高い脆弱性CVE-2026-39364を悪用するエクスプロイトを利用しています。
この脆弱性は4月7日に公表されたもので、認証を経ていない攻撃者がHTTP GETリクエスト内のクエリパラメータを操作することで、セキュリティ制限を回避し、本来アクセスできないはずの場所にあるファイルを平文で取得できてしまいます。
テクノロジー企業のF5は自社のハニーポットセンサーを通じてこの攻撃を検知しており、1か月間で800件を超える攻撃と、約32,000件の生イベントを観測しています。
F5は「?raw、?import&raw、?import&url&inlineといった特定のパラメータがリクエストに付加されると、サーバーはdeny-listによるフィルタリングを適用できず、対象ファイルをHTTP 200のレスポンスとして返してしまいます」と説明しています。
システムへの侵入後、攻撃者は大規模なワードリストを用いて、以下の種類の価値あるシークレット情報を狙ってスキャンを行っていました。
- .env、.env.production、.env.localなどの環境変数ファイル
- 複数の想定されるホームディレクトリ内のAWS認証情報ファイル
- AWS設定ファイルおよび認証情報のバックアップ
- Azureの認証情報およびアクセストークン
- Terraformのstateファイルおよび変数ファイル
- Serverlessの設定・状態ファイル
- /proc/self/environ、/proc/1/environ、/proc/self/cwd/.env
- /etc/passwd
F5の指摘によると、この攻撃活動ではパストラバーサルやエンコーディングを変化させた手法も試みられており、二重エンコードされたトラバーサルシーケンスなども含まれていたとのことです。これは、リバースプロキシやWAFの正規化処理をすり抜けるためとみられます。
観測された悪意ある活動の大半は米国、ベルギー、オランダを発信元としており、攻撃者はGoogle CloudのIPアドレス範囲を利用して検知回避を図っていました。
最も活発だったIPアドレスは、Viteに存在する他のアクセス制御の脆弱性も併せて悪用していました。具体的にはCVE-2025-30208、CVE-2025-31125(積極的な悪用が確認されているとされる脆弱性)、そしてCVE-2024-45811です。
Viteを保護する方法
Viteは通常localhostにバインドされますが、F5の研究者によると、開発者は–hostフラグを渡したり、server.hostを設定したり、あるいはDockerのポートマッピングを誤って設定したりすることで、しばしばこれをオンラインに公開してしまっているといいます。
同社は、悪用された脆弱性に対応した最新バージョンへViteサーバーを更新することを推奨しています。また、開発者はポート5173へのアクセスを遮断し、不審な/@fs/へのリクエストをブロックし、クローラーのUser-Agent文字列を信用しないようにすべきだとしています。
悪意あるアクセスの発信元として最も多かったのは34.14.15[.]105、34.16.200[.]129、34.11.196[.]206であり、これらはブロックリストに登録することが推奨されます。
パッチが適用されていないViteサーバーが公開状態にあった場合は、脆弱なシステムからアクセス可能な範囲にあるすべてのシークレット情報をローテーション(再発行)することが推奨されます。
