2026年8月、公開状態にあるVite開発サーバーを狙った自動化された脅威活動が大幅に増加しました。攻撃者は、CVE-2026-39364として知られる重大なファイル読み取り脆弱性を悪用し、クラウド認証情報や環境ファイル、インフラの状態データを窃取することを狙っていました。
ComputerScience
ハニーネットのテレメトリでは、月次の分析期間中にセッション単位で807件の攻撃、生イベントとして約32,000件が記録されています。
このキャンペーンは、開発ツールで新たに公開された脆弱性を攻撃者がいかに迅速に悪用するかを示しています。とりわけ、それが機密情報への未認証アクセスを可能にし、クラウドアカウントの乗っ取りにつながる恐れがある場合はなおさらです。
Viteのファイル読み取り不具合の悪用
CVE-2026-39364は、Vite開発サーバーにおける未認証のアクセス制御バイパスで、CVSSスコアは7.5と評価されています。この脆弱性はViteのバージョン7.1.0から7.3.2、および8.0.5に影響します。
この不具合により、リモートの攻撃者はViteが設定するserver.fs.denyによる制限を回避できます。この制限は、.envファイルや証明書、アプリケーションのソースコードといったホスト上の機密ファイルが開発サーバー経由で配信されるのを防ぐために設けられているものです。
Viteにはローカル開発ワークフローを支援するための内部的な@fsルートが備わっています。攻撃者は?raw、?import&raw、?import&url&inlineといったクエリパラメータを操作することで、設定された拒否リストを回避できます。リクエストが成功すると、対象のファイルがHTTP経由で平文のまま返される仕組みです。
F5 Labsによると、今回の攻撃活動には、CVE-2025-30208、CVE-2025-31125、CVE-2024-45811といった、より古いViteの脆弱性を悪用しようとする試みも含まれていました。これらの脆弱性も同様に、クエリ文字列を利用してファイルアクセス制御を回避する手口を伴うものです。
スキャナーは、一般的な.envファイルだけに標的を絞っていたわけではありません。むしろ、大規模なワードリストを用いて、LinuxやコンテナのパスからWebアプリケーションのパスに至るまで、幅広い場所からクラウド認証情報やデプロイ関連の成果物を探し出そうとしていました。頻繁に狙われたリソースには、以下のものが含まれます。
.env、.env.production、.env.local、.env.stagingなどの環境ファイル/root/.aws/credentials、/home/ubuntu/.aws/credentials、/app/.aws/credentialsなどのAWS認証情報ファイル.azure/credentials、.azure/accessTokens.jsonなどのAzureトークン・認証情報ストアterraform.tfstate、terraform.tfvars、serverless.yml、.serverless/serverless-state.jsonなどのTerraformおよびサーバーレスのデプロイデータ/etc/passwd、/proc/self/environ、/proc/1/environなどのシステムリソース
特に注目すべき標的の一つが/proc/self/cwd/.envです。これを利用すると、攻撃者はデプロイ先の絶対パスを知らなくても、稼働中のアプリケーションディレクトリの環境ファイルを露出させることができます。
こうしたファイルには、データベースのパスワード、APIキー、認証シークレット、クラウドアクセスキーといった機密情報が含まれている可能性があり、横方向への侵入拡大やクラウド環境全体の完全な侵害につながる恐れがあります。
マルウェアやフィッシングの最新動向を、発生から24時間以内にSOCへ届けます。ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/mass-scanning-targets-exposed-vite-servers-to-steal-aws-keys/
