Una campaña automatizada saquea servidores de desarrollo Vite expuestos para robar secretos de AWS y Azure
Una al día (Hispasec) · 29 sept, 15:23
Qué hacer: Actualiza Vite a 7.3.2, 8.0.5 o superior, vincula el dev server a localhost, bloquea acceso externo al puerto 5173 y rota inmediatamente credenciales de AWS, Azure y secretos en .env.
Una campaña automatizada a gran escala explota CVE-2026-39364 en servidores de desarrollo de Vite expuestos en Internet para robar secretos en texto claro, credenciales de AWS y tokens de Azure. El fallo permite eludir controles de acceso y leer archivos sensibles mediante manipulación de parámetros de consulta. La actividad ha generado miles de intentos sostenidos durante semanas, afectando a Vite 7.1.0 hasta 7.3.1 y 8.x hasta 8.0.4.
El ataque explota CVE-2026-39364, que sortea el mecanismo server.fs.deny mediante combinaciones de parámetros como ?raw y ?import mezclados con técnicas de path traversal y doble codificación. Los atacantes fuerzan peticiones HTTP al endpoint /@fs/ para obtener archivos sin autenticación, con síntomas muy reconocibles: respuestas HTTP 200 con el contenido del archivo solicitado.
El objetivo principal no es el código de la aplicación, sino secretos del host: archivos .env con credenciales, infraestructura como código (terraform.tfstate) y configuraciones que facilitan saltos laterales al entorno cloud. La telemetría detecta 807 sesiones y aproximadamente 32.000 eventos mensuales en una operación de barrido industrializado, con infraestructura destacada en rangos 34.x y 35.x de Google Cloud.
El riesgo se amplifica cuando equipos de desarrollo publican el dev server fuera de localhost mediante --host, configuración de server.host o mapeos de puertos en Docker. El puerto habitual 5173 se convierte en una puerta de entrada si es accesible desde Internet. El impacto real radica en el posible compromiso del entorno cloud: rotar de inmediato secretos, credenciales de AWS, tokens de Azure y terraform.tfstate es crítico si el servidor estuvo expuesto.
Puntos clave
- Afecta a Vite 7.1.0 a 7.3.1 y 8.x a 8.0.4; actualizar a 7.3.2, 8.0.5 o superior
- El exploit elude server.fs.deny mediante combinaciones ?raw, ?import y path traversal
- Se han detectado 807 sesiones y 32.000 eventos mensuales en una campaña activa de barrido
- Rota inmediatamente credenciales de AWS, tokens de Azure y archivos .env si el servidor estuvo expuesto
- Asegura que el dev server esté ligado a localhost y bloquea acceso externo al puerto 5173