해커들, 외부 노출된 Vite 개발 서버 공격해 AWS·Azure 비밀 정보 탈취 시도

대규모 스캔 캠페인이 인터넷에 노출된 Vite 개발 서버를 표적으로 삼아, AWS 및 Azure 배포 환경의 클라우드 자격증명과 구성 파일을 탈취하려 하고 있습니다.

이 공격은 CVE-2026-39364를 악용합니다. 이 취약점은 고심각도(high-severity)로, Vite 7.1.0~7.3.2 버전과 8.0.5 이전의 8.x 브랜치에서 파일 읽기/접근 통제를 우회할 수 있게 합니다.

해당 결함은 4월 7일에 공개되었으며, 인증되지 않은 공격자가 HTTP GET 요청의 쿼리 파라미터를 조작해 보안 제한을 우회하고, 정상적으로는 접근할 수 없는 위치의 파일을 평문으로 가져올 수 있습니다.

기술 기업 F5는 자사 허니팟(honeypot, 공격 탐지용 가상 표적) 센서를 통해 이 공격을 탐지하였으며, 한 달 동안 800건 이상의 공격과 약 3만 2천 건의 원시 이벤트를 관측했습니다.

F5는 다음과 같이 설명합니다. "?raw, ?import&raw, ?import&url&inline 등 특정 파라미터를 요청에 추가하면 서버가 차단 목록(deny-list) 필터링을 적용하지 못하고, 대상 파일을 HTTP 200 응답으로 제공합니다."

시스템을 침해한 후, 스캔은 방대한 단어 목록(wordlist)을 활용해 다음과 같은 유형의 민감한 정보를 수집하는 데 집중했습니다:

• .env, .env.production, .env.local 등 환경변수 파일
• 여러 홈 디렉터리 경로에 있는 AWS 자격증명 파일
• AWS 구성 파일 및 자격증명 백업
• Azure 자격증명 및 액세스 토큰
• Terraform 상태 파일 및 변수 파일
• 서버리스(Serverless) 구성/상태 파일
• /proc/self/environ, /proc/1/environ, /proc/self/cwd/.env
• /etc/passwd

F5는 이 작전이 역방향 프록시(reverse proxy)나 WAF(웹 애플리케이션 방화벽) 정규화를 우회하기 위해 이중 인코딩된 경로 탐색(traversal) 시퀀스 등 다양한 우회 변형도 시도했다고 밝혔습니다.

관측된 악성 활동의 대부분은 미국, 벨기에, 네덜란드에서 발생했으며, 공격자들은 탐지 회피를 위해 Google Cloud IP 대역을 사용했습니다.

가장 활발하게 활동한 IP 주소들은 CVE-2025-30208, CVE-2025-31125(실제 악용 중으로 표시됨), CVE-2024-45811 등 Vite의 다른 접근 통제 취약점도 함께 활용했습니다.

Vite 보호 방법

Vite는 일반적으로 localhost에만 바인딩되지만, F5 연구원들은 개발자들이 --host 플래그 전달, server.host 설정, 또는 잘못 구성된 Docker 포트 매핑 등을 통해 온라인에 노출시키는 경우가 많다고 지적합니다.

F5는 Vite 서버를 악용된 취약점이 해결된 최신 버전으로 업데이트할 것을 권고합니다. 또한 개발자들은 포트 5173을 통한 접근을 차단하고, 의심스러운 /@fs/ 요청을 차단하며, 크롤러 User-Agent 문자열을 신뢰하지 않아야 합니다.

악성 시도의 주요 발신지인 34.14.15[.]105, 34.16.200[.]129, 34.11.196[.]206은 차단 목록에 추가해야 합니다.

패치가 적용되지 않은 Vite 서버가 공개적으로 노출되어 있었다면, 취약한 시스템이 접근할 수 있는 모든 비밀 정보를 즉시 교체할 것을 권고합니다.