보안 연구팀이 오픈소스 프론트엔드 개발 서버 도구인 Vite의 취약점(CVE-2026-39364)을 악용한 대규모 자동 스캔 공격을 발견했습니다. 공격자들은 인터넷에 노출된 Vite 개발 서버를 찾아 AWS·Azure 클라우드 계정 키, 데이터베이스 비밀번호, 인프라 설정 파일 등 민감한 정보를 탈취하고 있습니다. 이 취약점은 URL에 특정 매개변수를 붙이는 것만으로 서버의 파일 접근 차단 설정을 우회할 수 있어, 공격이 매우 간단합니다. 공격자들은 Googlebot·GPTBot 등 정상 봇으로 위장하고 IP 주소도 조작해 탐지를 회피하고 있습니다. Vite 개발 서버를 `--host` 옵션 등으로 외부에 노출한 개발 환경은 즉시 점검이 필요합니다.
2026년 8월부터 인터넷에 노출된 Vite 개발 서버를 대상으로 한 대규모 자동 스캔 공격이 관측됐다. 공격자들은 CVE-2026-39364 취약점을 이용해 서버의 파일 접근 제한을 우회하고 클라우드 자격증명과 인프라 설정 파일을 탈취하고 있다.
AWS·Azure 클라우드 계정 키, API 시크릿, 데이터베이스 비밀번호, Terraform 상태 파일, 시스템 환경 변수(/etc/passwd, .env 등)가 평문으로 유출될 수 있다. 클라우드 관리자 권한 탈취로 이어질 경우 전체 인프라가 위협받는다.
Vite 개발 서버의 `server.fs.deny` 파일 접근 차단 로직이 `?raw`, `?import&raw` 등의 쿼리 파라미터 조합으로 우회된다(CVSS 8.2). 개발자가 `--host` 플래그나 Docker 포트 설정으로 서버를 외부에 노출한 경우에만 적용된다.
Vite는 2026년 4월 보안 권고를 발표했으며 패치가 제공됐다. 개발 서버를 인터넷에 노출하지 않는 것이 근본 대책이며, 불가피한 경우 최신 버전으로 즉시 업데이트해야 한다.
CI/CD 파이프라인·컨테이너 환경에서 Vite 개발 서버가 외부 네트워크에 노출되어 있는지 즉시 확인하고, .env 파일과 클라우드 자격증명이 서버 허용 디렉터리 안에 위치하지 않도록 점검한다. 공격 로그는 위조된 User-Agent와 X-Forwarded-For를 사용하므로 단순 IP 차단이나 UA 필터링만으로는 대응이 불충분하다.
본문
Ravie Lakshmanan 2026년 9월 15일 | 취약점 / 클라우드 보안
사이버보안 연구팀이 Vite 배포 환경을 표적으로 삼아 민감한 데이터를 빼내는 대규모 스캔 공격의 세부 내용을 공개했다.
이번 공격은 인터넷에 노출된 Vite 개발 서버를 대상으로 한 자동화 시도로, AWS(Amazon Web Services) 및 Microsoft Azure 인스턴스의 클라우드 자격증명·설정 파일과 인프라 상태 파일을 탈취하도록 설계됐다고 F5 Labs가 밝혔다.
2026년 8월에 포착된 이 자격증명 수집 활동은 CVE-2026-39364(CVSS 점수: 8.2)에 대한 익스플로잇을 활용하는 것으로 확인됐다. 이 취약점은 Vite에 존재하는 심각도 높은 보안 결함으로, 인증되지 않은 공격자가 쿼리 파라미터 조작을 통해 보안 제한을 우회하고 server.fs.deny에 지정된 파일을 포함한 민감한 데이터를 유출할 수 있게 한다.
Vite는 2026년 4월 발표한 권고문에서 이렇게 설명했다. "Vite 개발 서버에서 server.fs.deny에 의해 차단되어야 할 파일(예: .env, *.crt)이 ?raw, ?import&raw, ?import&url&inline 등의 쿼리 파라미터를 URL에 추가하면 HTTP 200 응답으로 조회될 수 있다."
단, 성공적인 취약점 악용을 위해서는 다음 세 가지 조건이 모두 충족되어야 한다.
--host플래그 또는server.host설정 옵션을 사용해 Vite 개발 서버를 명시적으로 네트워크에 노출한 경우- 민감한 파일이
server.fs.allow로 허용된 디렉터리 내에 존재하는 경우 - 해당 파일이
server.fs.deny의 패턴과 일치해 차단 대상으로 지정된 경우
F5 Labs는 "기본 설정에서 Vite는 localhost에 바인딩된다"고 설명했다. "개발자가 --host 플래그를 전달하거나, server.host를 설정하거나, Docker 컨테이너 포트 매핑을 잘못 구성해 서비스를 노출할 경우 개발 서버가 로컬 네트워크 또는 공용 인터넷에서 직접 접근 가능한 상태가 된다."
공격자는 /@fs/ 엔드포인트에 HTTP GET 요청을 보내 민감한 파일 경로를 참조하면서 우회 쿼리 파라미터를 추가한다. 그러면 서버가 요청을 처리하는 과정에서 server.fs.deny 검사가 무력화되고, 요청된 파일의 내용이 HTTP 응답 본문에 평문으로 반환된다.
이 요청이 설정 디렉터리를 겨냥할 경우 공격자에게 평문 API 시크릿, 데이터베이스 비밀번호, 클라우드 관리자 자격증명에 대한 무단 접근을 허용하게 되어 심각한 피해로 이어질 수 있다. F5는 이 취약점을 악용한 것으로 보이는 요청 다수를 관측했으며, 다음 유형의 데이터가 수집 대상이었음을 확인했다.
- 환경 설정 파일
- AWS 자격증명
- AWS 설정 및 백업 파일
- 인프라 상태 파일 (예:
terraform.tfstate,serverless.yml) - Azure 프로필
- 시스템 메모리 및 환경 정보 (예:
/etc/passwd,/proc/self/environ,/proc/1/environ,/proc/self/cwd/.env)
F5는 "/proc/self/cwd/.env를 탐색하는 행위는 배포 스택에 대한 이해를 보여준다. 웹 애플리케이션의 절대 경로를 추측하지 않고도 실행 중인 프로세스를 기준으로 활성 .env 파일을 읽어낼 수 있기 때문이다"라고 설명했다.
이 요청들은 Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot, Amazonbot 등 주요 웹 크롤러와 AI 봇을 사칭한 위조 User-Agent 헤더를 사용한다. 또한 IP 기반 접근 제어 목록을 우회하고 로그 분석을 교란하기 위해 X-Forwarded-For와 X-Real-IP 값을 위조(예: 34.94.237[.]62, 104.28.219[.]193)해 삽입한다.
악성 활동의 상당 부분은 미국, 벨기에, 네덜란드, 싱가포르, 대만에서 발생했으며, 공격자들은 Google Cloud Platform 대역(34.x 및 35.x)을 이용해 탐지를 피하고 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
