سوءاستفاده از سرورهای Vite برای استخراج اطلاعات حساس
آسیب‌پذیری CVE-2026-39364 که در 7 آوریل افشا شد، به مهاجم بدون نیاز به احراز هویت اجازه می‌دهد با دستکاری پارامترهای یک درخواست HTTP GET، محدودیت‌های امنیتی را دور بزند و فایل‌ها را به‌صورت متن ساده (Plaintext) از مسیرهایی دریافت کند که در حالت عادی نباید به آن‌ها دسترسی داشته باشد. در نتیجه، سرورهای Vite که از طریق اینترنت در دسترس هستند، می‌توانند به نقطه‌ای برای سرقت اطلاعات حساس از محیط‌های ابری تبدیل شوند. این آسیب‌پذیری در نسخه‌های 7.1.0 تا 7.3.2 و همچنین نسخه‌های شاخه 8.x پیش از 8.0.5 وجود دارد.
شرکت فناوری F5 این حملات را با استفاده از سامانه‌های هانی‌پات (Honeypot) شناسایی کرده است. داده‌های جمع‌آوری‌شده طی یک ماه، بیش از 800 حمله و حدود 32 هزار مورد فعالیت ثبت‌شده را نشان می‌دهد.
طبق توضیح F5، مهاجمان با افزودن پارامترهایی مانند ?raw، ?import&raw یا ?import&url&inlineبه درخواست، باعث می‌شوند فیلتر مبتنی بر فهرست مسدودسازی (Deny-List Filtering) به‌درستی عمل نکند. در نتیجه، سرور درخواست را مسدود نکرده و فایل موردنظر را با کد وضعیت HTTP 200 برای مهاجم ارسال می‌کند.
تلاش برای استخراج اطلاعات و اعتبارنامه‌های ابری
مهاجمان پس از نفوذ، با استفاده از فهرست‌های گسترده از نام فایل‌ها و مسیرهای احتمالی، به‌دنبال اطلاعات حساس و اعتبارنامه‌های قابل‌استفاده در سیستم بودند. آن‌ها در این مرحله، موارد زیر را در سرورهای Vite به‌صورت خودکار بررسی می‌کردند:
- فایل‌های .env، .env.production، .env.local و سایر فایل‌های متغیر محیطی (Environment Files)
- فایل‌های اعتبارنامه AWS در چند دایرکتوری احتمالی مربوط به کاربران
- فایل‌های پیکربندی AWS و نسخه‌های پشتیبان اعتبارنامه‌ها
- اعتبارنامه‌ها و توکن‌های دسترسی Azure (Access Tokens)
- فایل‌های وضعیت (State) و متغیرهای ترافرم (Terraform)
- فایل‌های پیکربندی و وضعیت محیط‌های بدون‌سرور (Serverless)
- فایل‌های /proc/self/environ، /proc/1/environ و /proc/self/cwd/.env
- فایل /etc/passwd
همچنین طبق گزارش F5، مهاجمان برای دسترسی به فایل‌های موردنظر، از روش‌های مختلف پیمایش مسیر (Path Traversal) و رمزگذاری استفاده کرده‌اند. در برخی موارد، مهاجمان مسیرهای دسترسی به فایل‌ها را با استفاده از روش رمزگذاری دوگانه (Double Encoding) تغییر داده‌اند؛ روشی که ظاهراً برای دور زدن فرایند نرمال‌سازی درخواست‌ها (Request Normalization) در پروکسی‌های معکوس (Reverse Proxy) و فایروال اپلیکیشن وب (WAF) به کار رفته است. این کار می‌تواند باعث شود درخواست‌های مخرب پیش از رسیدن به سرور، به‌درستی شناسایی یا مسدود نشوند.
استفاده از زیرساخت ابری و سوءاستفاده از آسیب‌پذیری‌های دیگر
بیشتر فعالیت‌های مخرب ثبت‌شده، از IPهای مستقر در ایالات متحده، بلژیک و هلند بوده است. مهاجمان برای پنهان کردن منبع واقعی حملات نیز از IPهای متعلق به زیرساخت گوگل کلاد (Google Cloud) استفاده کرده‌اند.
بررسی‌ها نشان می‌دهد مهاجمان علاوه بر آسیب‌پذیری اصلی، از برخی از فعال‌ترین آدرس‌های IP خود برای سوءاستفاده از چند ضعف کنترل دسترسی (Access Control Flaws) در سرورهای Vite نیز استفاده کرده‌اند.
این آسیب‌پذیری‌ها عبارت‌اند از:
- CVE-2025-30208
- CVE-2025-31125 که هم‌اکنون نیز در حملات واقعی مورد سوءاستفاده قرار می‌گیرد.
- CVE-2024-45811
راهکارهای محافظت از سرورهای Vite
اگرچه سرورهای Vite به‌طور پیش‌فرض فقط روی لوکال‌هاست (Localhost) قابل دسترسی هستند، اما به گفته پژوهشگران F5 توسعه‌دهندگان در برخی موارد با تغییر پیکربندی، این سرورها را از طریق اینترنت نیز در دسترس قرار می‌دهند. استفاده از گزینه–host ، تغییر مقدار server.host یا پیکربندی نادرست پورت‌ها در داکر (Docker) از جمله عواملی هستند که می‌توانند باعث دسترسی مستقیم این سرورها از طریق اینترنت شوند.
F5 توصیه می‌کند برای جلوگیری از این حملات، سرورهای Vite به آخرین نسخه به‌روزرسانی شوند؛ این نسخه‌ها آسیب‌پذیری‌های مورد سوءاستفاده مهاجمان را برطرف کرده‌اند. همچنین باید دسترسی به پورت 5173 مسدود شود، درخواست‌های مشکوک به مسیر /@fs/ تحت بررسی قرار گیرند و برای تشخیص درخواست‌های مجاز، به «عامل کاربری» (User-Agent) وب‌کراولرها (Web Crawlers) اتکا نشود.
سه آدرس IP شامل 34.14.15[.]105، 34.16.200[.]129 و 34.11.196[.]206 بیشترین ارتباط را با فعالیت‌های مخرب این کمپین داشته‌اند و بهتر است در بلاک‌لیست (Blocklist) قرار گیرند.
در صورتی که سرورهای پچ‌نشده پیش‌تر به‌صورت عمومی در دسترس بوده‌اند، توصیه می‌شود تمام اطلاعات حساس در دسترس سیستم آسیب‌پذیر، از جمله اعتبارنامه‌ها و کلیدهای دسترسی، تعویض شوند.
