Hacker Targetkan Vite Dev Server yang Terbuka untuk Mencuri Kredensial AWS dan Azure
Kelompok hacker menjalankan kampanye pemindaian massal yang menargetkan Vite development server yang terekspos ke internet untuk mencuri kredensial cloud dan konfigurasi sensitif dari deployment AWS maupun Azure.
Serangan ini memanfaatkan kerentanan CVE-2026-39364, sebuah vulnerability dengan tingkat keparahan tinggi yang memungkinkan penyerang melewati mekanisme pembatasan akses file pada Vite. Kerentanan tersebut memengaruhi Vite versi 7.1.0 hingga 7.3.2, serta versi pada cabang 8.x sebelum 8.0.5.
Kerentanan ini menjadi perhatian karena dapat dieksploitasi tanpa autentikasi. Penyerang cukup memanipulasi parameter query tertentu pada HTTP GET request untuk mengakses file yang seharusnya tidak dapat dibaca dari luar sistem.
Serangan Massal Menargetkan Vite yang Terbuka ke Internet
Aktivitas tersebut ditemukan oleh perusahaan teknologi F5 melalui sensor honeypot yang mereka operasikan. Selama periode pemantauan sekitar satu bulan, F5 mendeteksi lebih dari 800 serangan dan sekitar 32.000 raw events yang berkaitan dengan kampanye tersebut.
CVE-2026-39364 memungkinkan attacker memanfaatkan parameter tertentu pada URL untuk melewati mekanisme deny-list filtering yang diterapkan Vite.
Beberapa pola request yang diamati menggunakan parameter seperti:
?raw?import&raw?import&url&inline
Dengan parameter tersebut, server dapat gagal menerapkan filtering sebagaimana mestinya dan akhirnya mengembalikan file target dalam bentuk plaintext menggunakan respons HTTP 200.
Kondisi ini sangat berbahaya ketika Vite development server dapat diakses langsung dari internet karena file yang tersedia di lingkungan pengembangan dapat berisi credential dan konfigurasi cloud.
Hacker Memburu File yang Mengandung Secrets
Setelah menemukan server yang rentan, aktivitas pemindaian berfokus pada file yang berpotensi menyimpan informasi autentikasi dan konfigurasi deployment.
F5 mengamati penggunaan wordlist yang mencakup berbagai target, antara lain:
.env,.env.production,.env.local, dan file environment lainnya- File credential AWS dari beberapa kemungkinan direktori home
- File konfigurasi AWS dan backup credential
- Credential serta access token Azure
- File state dan variable Terraform
- Konfigurasi serta state Serverless
/proc/self/environ/proc/1/environ/proc/self/cwd/.env/etc/passwd
Target-target tersebut menunjukkan bahwa serangan tidak sekadar mencoba mengetahui keberadaan Vite server, tetapi secara khusus mencari secret dan credential yang dapat digunakan untuk mendapatkan akses lebih jauh ke infrastruktur cloud.
File .env, misalnya, sering digunakan aplikasi untuk menyimpan API key, access token, database credential, maupun informasi konfigurasi lainnya.
Penyerang Juga Mencoba Melewati Proxy dan WAF
Kampanye tersebut tidak hanya menggunakan request standar. F5 juga menemukan penggunaan berbagai variasi path traversal dan encoding, termasuk traversal sequence yang diencode dua kali.
Teknik ini kemungkinan digunakan untuk melewati proses normalisasi yang dilakukan oleh reverse proxy atau Web Application Firewall (WAF).
Dengan mencoba berbagai bentuk representasi path, attacker dapat mencari konfigurasi yang memungkinkan request berbahaya mencapai Vite tanpa diblokir oleh lapisan keamanan di depannya.
IP Google Cloud Digunakan untuk Menyamarkan Aktivitas
Sebagian besar aktivitas malicious yang terpantau berasal dari Amerika Serikat, Belgia, dan Belanda. Para attacker juga menggunakan rentang IP milik Google Cloud dalam aktivitas tersebut.
F5 mengidentifikasi beberapa alamat IP yang menjadi sumber paling aktif dalam serangan:
34.14.15[.]10534.16.200[.]12934.11.196[.]206
Ketiga alamat tersebut direkomendasikan untuk dimasukkan ke dalam blocklist sebagai bagian dari langkah mitigasi.
Selain CVE-2026-39364, alamat IP yang aktif tersebut juga terpantau mengeksploitasi vulnerability lain pada Vite, yaitu CVE-2025-30208, CVE-2025-31125, dan CVE-2024-45811.
CVE-2025-31125 sendiri telah ditandai sebagai actively exploited, sehingga administrator Vite perlu memperhatikan lebih dari satu vulnerability ketika memeriksa server yang terekspos.
Mengapa Vite Development Server Bisa Terbuka ke Internet?
Secara default, Vite biasanya melakukan binding ke localhost, sehingga development server tidak dapat diakses langsung dari internet.
Namun, developer dapat membuatnya dapat diakses dari jaringan eksternal, misalnya dengan menggunakan opsi --host, mengatur parameter server.host, atau akibat konfigurasi port pada Docker yang tidak tepat.
Konfigurasi seperti ini memang dapat diperlukan dalam beberapa skenario development, tetapi menjadi risiko keamanan apabila server tersebut kemudian dapat diakses publik tanpa perlindungan yang memadai.
Development server juga sering kali memiliki akses terhadap berbagai file proyek dan environment variable yang tidak seharusnya tersedia untuk pengguna internet.
Cara Melindungi Vite dari Serangan
F5 merekomendasikan administrator dan developer untuk segera memperbarui Vite ke versi terbaru yang telah memperbaiki vulnerability yang dieksploitasi dalam kampanye ini.
Selain melakukan patching, beberapa langkah mitigasi yang disarankan meliputi:
- Blokir akses ke port 5173, yang umum digunakan oleh Vite development server.
- Blokir request mencurigakan ke endpoint
/@fs/. - Jangan mengandalkan User-Agent crawler sebagai mekanisme keamanan karena dapat dengan mudah dipalsukan.
- Pastikan development server tidak terekspos langsung ke internet jika akses publik memang tidak diperlukan.
- Periksa konfigurasi Docker, reverse proxy, dan firewall untuk memastikan port development tidak ikut terbuka.
- Jika server yang belum diperbarui sebelumnya terekspos ke internet, lakukan rotasi seluruh secret yang dapat dijangkau oleh sistem tersebut.
Langkah terakhir sangat penting karena patching vulnerability hanya mencegah eksploitasi berikutnya. Jika attacker sebelumnya sudah berhasil membaca file .env, AWS credential, Azure token, atau secret lainnya, credential tersebut harus dianggap telah terkompromi.
Developer Perlu Memeriksa Server Vite yang Pernah Terekspos
Kampanye ini menunjukkan risiko yang dapat muncul ketika development infrastructure diperlakukan seperti server biasa yang aman hanya karena tidak ditujukan untuk produksi.
Vite development server dapat memiliki akses ke file proyek dan konfigurasi environment yang sangat sensitif. Ketika server tersebut terekspos ke internet dan menjalankan versi rentan, attacker dapat memanfaatkannya untuk mencari credential cloud tanpa perlu melakukan kompromi yang kompleks.
Karena itu, pengguna Vite sebaiknya tidak hanya memperbarui software, tetapi juga memeriksa apakah development server mereka pernah dapat diakses dari internet. Jika memang pernah terekspos saat menjalankan versi yang rentan, rotasi credential AWS, Azure, Terraform, dan secret lainnya yang berada dalam jangkauan server menjadi langkah penting untuk memastikan akses yang mungkin telah dicuri tidak lagi dapat digunakan.
Sumber: F5
