2026-09-16 · Fuente：InfoWorld
F5 Labs contabilizó más de 32,000 intentos de escaneo contra servidores Vite expuestos en agosto, mientras los atacantes cazaban claves de nube, tokens y archivos de entorno mediante un bypass recién divulgado.
Los atacantes han abierto un nuevo frente en su campaña contra los desarrolladores de software, dirigiendo sus escáneres hacia los servidores Vite en busca de credenciales de nube, configuración de infraestructura y archivos de entorno. F5 Labs dice que su red de honeypots registró más de 32,000 intentos de escanear servidores Vite expuestos en agosto, agrupados en 807 ataques o sesiones, un salto agudo frente a los apenas 1,732 intentos de los tres meses previos.
El investigador de amenazas de F5 Adam Metcalfe-Pearce, escribiendo en el blog de la compañía, describió la amplitud de la operación: 'En lugar de apuntar a un solo archivo, la flota de escaneo recorrió sistemáticamente listas de palabras extensas de archivos de entorno, claves de AWS, tokens de Azure y archivos de estado de Infraestructura como Código'. La campaña se centró en una falla recientemente divulgada, rastreada como CVE-2026-39364, que permite a atacantes no autenticados eludir las restricciones de acceso a archivos de Vite y extraer archivos del sistema anfitrión.
La vulnerabilidad derrota la protección de lista de denegación 'server.fs.deny', el mecanismo del que depende Vite para mantener los archivos sensibles fuera de alcance. Vite nació como una herramienta de build para Vue, un framework de JavaScript para construir interfaces de usuario y aplicaciones web, pero desde entonces ha crecido hasta ser un servidor de desarrollo y herramienta de build de uso amplio en todo el ecosistema de JavaScript.
La exposición generalmente proviene de decisiones de configuración y no de los valores por defecto. Vite normalmente se liga a localhost, pero los desarrolladores pueden abrirlo a redes externas mediante la opción '–host', la configuración del servidor, mapeos de puertos de contenedores u otros errores de despliegue, las rutas de exposición que F5 señaló junto a sus hallazgos.
Para los equipos que construyen sistemas de IA sobre AWS o Azure, el riesgo es que cualquier servidor de desarrollo mal configurado se convierta en una fuente de credenciales: una sola clave o token recuperado podría entregar a los atacantes acceso a la cuenta de nube que desbloquea.
Etiquetas: Vite · F5 Labs · Adam Metcalfe-Pearce · AWS · Azure · CVE-2026-39364
萬安算交所 AIXX · AIXX · Exchange verificado · Ir al mercado