พบ Hacker มุ่งเป้าโจมตี Vite Dev Servers เพื่อขโมยข้อมูล AWS, Azure secrets

 

มีการตรวจพบ Scanning Campaign จำนวนมาก ที่มุ่งเป้าไปยัง Vite Development Servers ซึ่งเปิดให้เข้าถึงได้ผ่านอินเทอร์เน็ต โดยมีวัตถุประสงค์เพื่อขโมยข้อมูล credentials และข้อมูล configurations ระบบคลาวด์ของ AWS และ Azure

แคมเปญการโจมตีดังกล่าวใช้ช่องโหว่ CVE-2026-39364 ซึ่งมีความรุนแรงระดับสูง โดยช่องโหว่นี้ทำให้ Hacker สามารถ Bypass การควบคุมการเข้าถึง หรือการอ่านไฟล์ใน Vite เวอร์ชัน 7.1.0 ถึง 7.3.2 รวมถึงเวอร์ชันในสาย 8.x ที่ต่ำกว่า 8.0.5 ได้

ช่องโหว่ดังกล่าวได้รับการเปิดเผยเมื่อวันที่ 7 เมษายน 2026 โดยสามารถทำให้ Hacker ที่ไม่ผ่านการยืนยันตัวตนสามารถปรับเปลี่ยน query parameters ใน HTTP GET request เพื่อ Bypass ข้อจำกัดด้านความปลอดภัย และดึงไฟล์ออกมาในรูปแบบ plaintext จากตำแหน่งที่ปกติแล้วไม่ควรเข้าถึงได้

F5 บริษัทเทคโนโลยีด้านความปลอดภัย ได้ตรวจพบการโจมตีเหล่านี้ผ่านระบบ sensors แบบ honeypot โดยพบการโจมตีมากกว่า 800 ครั้ง และมี raw events ที่เกี่ยวข้องประมาณ 32,000 รายการในช่วงเวลาหนึ่งเดือน

F5 อธิบายว่า "เมื่อมีการระบุ parameters เฉพาะเจาะจง เช่น `?raw`, `?import&raw` หรือ `?import&url&inline` ต่อท้าย request เซิร์ฟเวอร์จะล้มเหลวในการบังคับใช้การ filter ข้อมูลตามรายการ deny-list filtering และจะส่งไฟล์เป้าหมายกลับมาพร้อมกับสถานะ HTTP 200 response"

หลังโจมตีระบบสำเร็จ กระบวนการสแกนจะมุ่งเน้นไปที่ข้อมูลที่มีความสำคัญ โดยใช้รายการคำ (wordlists) จำนวนมากเพื่อค้นหาข้อมูลประเภทต่าง ๆ ดังนี้ :

• .env, .env.production, .env.local และ environment files อื่น ๆ
• AWS credential files จาก home directories ที่เป็นไปได้หลายแห่ง
• AWS configuration files และ credential backups
• Azure credentials และ access tokens
• Terraform state และ variable files
• Serverless configuration/state
• /proc/self/environ, /proc/1/environ, and /proc/self/cwd/.env
• /etc/passwd

F5 ได้ตั้งข้อสังเกตว่าการโจมตีนี้ยังมีการใช้เทคนิค path traversal และรูปแบบการ encoding ที่หลากหลาย รวมถึงลำดับการ traversal แบบ double-encoded ซึ่งคาดว่าทำเพื่อหลบเลี่ยงการตรวจสอบของ reverse proxy หรือกระบวนการ normalization ของ WAF

การโจมตีส่วนใหญ่ที่ตรวจพบมีต้นทางมาจากสหรัฐอเมริกา, เบลเยียม และเนเธอร์แลนด์ โดย Hacker ใช้ช่วงหมายเลข IP ของ Google Cloud เพื่ออำพรางตัว และหลบเลี่ยงการตรวจจับ

IP address ที่มีการโจมตีมากที่สุดยังได้ใช้ช่องโหว่ด้านการควบคุมการเข้าถึงอื่น ๆ ใน Vite ได้แก่ CVE-2025-30208, CVE-2025-31125 (ซึ่งถูกระบุว่ามีการโจมตีจริงในขณะนี้) และ CVE-2024-45811

แนวทางการป้องกัน Vite Development Servers

แม้ว่าโดยปกติแล้ว Vite จะผูกการทำงานไว้กับ localhost แต่ทีมนักวิจัยของ F5 ระบุว่า นักพัฒนามักเปิดให้เข้าถึงได้จากภายนอกผ่านอินเทอร์เน็ต โดยการใช้ --host flag, การตั้งค่า `server.host` หรือการกำหนดค่า Docker port mapping ที่ไม่ถูกต้อง

F5 ได้แนะนำให้อัปเดตเซิร์ฟเวอร์ Vite เป็นเวอร์ชันล่าสุด ซึ่งมีการแก้ไขช่องโหว่ที่ถูกนำมาใช้โจมตีแล้ว นอกจากนี้ นักพัฒนาควร block การเข้าถึงผ่านพอร์ต 5173, block request ที่น่าสงสัยไปยัง `/@fs/` และหลีกเลี่ยงการ trusting User-Agent strings ที่เป็น crawler

IP address ที่พบการพยายามโจมตี ได้แก่ 34.14.15[.]105, 34.16.200[.]129 และ 34.11.196[.]206 ซึ่งควรถูกนำไปใส่ไว้ในรายการ blocklist

หากมีการเปิด Vite Development Servers ที่ยังไม่ได้แพตช์ช่องโหว่ให้เข้าถึงได้จากสาธารณะ ขอแนะนำให้ทำการเปลี่ยนข้อมูล secrets ทั้งหมดที่เกี่ยวข้องกับระบบที่มีช่องโหว่

ที่มา : bleepingcomputer