# Massenscan-Kampagne nutzt Vite Dev Server-Fehler aus, um Cloud-Anmeldeinformationen und Umgebungsgeheimnisse zu extrahieren

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/de/article/mass-scanning-campaign-exploits-vite-dev-server-flaw-cloud-credentials-de
Section: Software (https://technewslist.com/de/software)
Author: TechNewsList
Language: de
Published: 2026-09-17T20:19:45.996+00:00
Updated: 2026-09-17T20:19:46.166229+00:00

> Bedrohungsakteure führen automatisierte Massenscans durch, die auf einen willkürlichen Dateilesefehler in Vite-Entwicklungsservern abzielen, um AWS-Schlüssel, Umgebungsgeheimnisse und Cloud-Anmeldeinformationen zu sammeln.

## TL;DR
- Bedrohungsakteure durchsuchen aktiv das Internet, um eine kritische Schwachstelle in den Vite-Entwicklungsservern auszunutzen.
- Die Sicherheitslücke CVE-2026-39364 (CVSS 8.2) ermöglicht das nicht authentifizierte Lesen beliebiger Dateien aus der Ferne.
- Angreifer hängen Abfrageparameter wie „?raw“ an, um server.fs.deny-Dateisystembeschränkungen zu umgehen.
- Exploit-Skripte zielen auf AWS-Anmeldeinformationen, Umgebungsgeheimnisse und Terraform-Statusdateien ab.

## Key points
- Betrifft in der Cloud gehostete Entwicklungscontainer und Remote-Entwicklungs-VMs, die über das Internet zugänglich sind.
- Umgeht die Ablehnungsregeln des Dateisystems, indem Fehler bei der Analyse von Abfrageparametern vor der Prüfung ausgenutzt werden.
- Honeypots überwachen den Scan-Verkehr auf den Standard-Vite-Ports 5173, 5174 und 3000.
- Zu den Zielendpunkten gehören /proc/self/environ,.aws/credentials und der Infrastrukturstatus.
- Das Vite-Kernteam hat Notfall-Sicherheitspatches in den Versionen 5.4.15 und 6.0.12 veröffentlicht.
- DevOps-Teams müssen Entwicklungsserver an localhost binden und alle potenziell offengelegten Schlüssel rotieren.

## Was passiert ist

Am 16. und 17. September 2026 gaben Cybersicherheitsbedrohungsforscher von F5 Labs und The Hacker News dringende Hinweise zu einer koordinierten globalen Scan-Kampagne heraus, die eine kritische Path-Traversal-Schwachstelle im weit verbreiteten Vite-Frontend-Entwicklungs-Build-Tool aktiv als Waffe ausnutzt. Die als CVE-2026-39364 bezeichnete Schwachstelle mit einem CVSS-Wert von 8,2 mit hohem Schweregrad ermöglicht es nicht authentifizierten Remote-Angreifern, die integrierten Dateisystem-Zugriffsbeschränkungen von Vite vollständig zu umgehen und beliebige Dateien im Klartext vom Host-Betriebssystem herunterzuladen.

Von globalen Honeypots gesammelte Telemetriedaten zeigen, dass automatisierte Botnets öffentliche IP-Bereiche nach offengelegten Standard-Ports des Vite-Entwicklungsservers durchsuchen (vorwiegend TCP-Ports 5173, 5174 und 3000). Bei der Identifizierung eines aktiven Vite-Servers suchen die automatisierten Exploit-Skripte nach sensiblen Infrastrukturkonfigurationsdateien und zielen dabei auf Zugangsdaten von Cloud-Anbietern, Geheimnisse der kontinuierlichen Integration, private SSH-Schlüssel und aktive Prozessumgebungsvariablenblöcke ab.

## Warum es wichtig ist

Die Schwachstelle stellt ein akutes Betriebsrisiko dar, da Vite einer der Grundbausteine ​​des modernen Web-Ökosystems ist und Entwicklungsworkflows für Frameworks wie React, Vue, Svelte und Solid unterstützt. Während Entwicklungsserver von Natur aus für den Betrieb in geschützten lokalen Umgebungen konzipiert sind, verlassen sich moderne Softwareentwicklungspraktiken zunehmend auf virtuelle Remote-Entwicklungsmaschinen, in der Cloud gehostete Entwicklungscontainer und temporäre Staging-Endpunkte, die auf AWS EC2-, GCP Compute Engine- und Kubernetes-Clustern gehostet werden.

Wenn Entwickler diese Remote-Umgebungen dem öffentlichen Internet zugänglich machen, ohne VPN-Kapselung oder Authentifizierungs-Proxys zu implementieren, werden anfällige Vite-Server zu direkten Gateways in die Cloud-Infrastruktur des Unternehmens. Durch eine erfolgreiche Ausnutzung können Angreifer an langlebige AWS IAM-Zugriffstoken, Datenbankverbindungszeichenfolgen und Produktions-API-Geheimnisse gelangen. Diese kompromittierten Zugangsdaten ermöglichen häufig die vollständige Übernahme von Cloud-Konten, die unbefugte Entführung von Ressourcen für das Kryptowährungs-Mining und katastrophale Manipulationen in der Lieferkette.

## Technische Details

Die technische Schwachstelle liegt darin, wie der interne Entwicklungsserver von Vite HTTP-GET-Anfragen analysiert, die auf seinen internen Dateisystem-Serving-Endpunkt („/@fs/“) abzielen. Im Standardbetrieb erzwingt Vite die Konfigurationsregel „server.fs.deny“, die so programmiert ist, dass sie den Zugriff auf vertrauliche Dateien wie „.env“-Dateien, Paketsperrdateien und Git-Konfigurationsrepositorys verweigert. Allerdings haben Sicherheitsforscher herausgefunden, dass Angreifer Abfrageparameter manipulieren können, um die Pfadauflösungslogik kurzzuschließen.

![Das Threat-Intelligence-Banner von F5 Labs veranschaulicht die automatisierte Cloud-Aufklärung und weit verbreitete Port-Scan-Kampagnen.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1789673545262-kf81sj-mass-scanning-campaign-exploits-vite-dev-server-flaw-cloud-credentials-inside-1-11707e44d6.webp)

Durch das Anhängen bestimmter Abfragezeichenfolgen – wie „?raw“ oder „?import“ – an URL-codierte Verzeichnisdurchlaufsequenzen verarbeitet der Vite-Abfrageparser die Anfrage, bevor der Dateisystem-Ablehnungsfilter ausgeführt wird. Der Server behandelt den Zielpfad als rohes statisches Asset und streamt vertrauliche Dateien mit einem HTTP-200-Antwortcode zurück an den Client. Beobachtete Angreifer-Payloads fragen insbesondere Pfade ab, darunter „/@fs/proc/self/environ“, „/@fs/root/.aws/credentials“ und „/@fs/workspace/terraform.tfstate“.

![Technisches HTTP-Anforderungs- und Antwortflussdiagramm, das Mechanismen zur Umgehung von Abfrageparametern darstellt, die auf interne Vite-Entwicklungsendpunkte abzielen.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1789673547823-2jrn5c-mass-scanning-campaign-exploits-vite-dev-server-flaw-cloud-credentials-inside-2-c06f6d1e01.webp)

## Auswirkungen auf Markt und Branche

Die Offenlegung löste eine sofortige Reaktion in der Open-Source-Software- und DevOps-Sicherheitsgemeinschaft aus. Das Vite-Kernbetreuerteam unter der Leitung von Erfinder Evan You entwickelte und veröffentlichte schnell gepatchte Versionen über mehrere Release-Zweige hinweg und forderte die Entwickler auf, sofort ein Upgrade auf die Vite-Versionen 5.4.15, 6.0.12 oder höher durchzuführen. Anbieter von Cloud Security Posture Management (CSPM) und Web Application Firewall (WAF)-Anbietern haben Notfall-Signatur-Updates bereitgestellt, um bösartige „/@fs/“-Abfragemuster am Perimeter abzufangen.

Der Vorfall unterstreicht die wachsende Besorgnis der Branche über die Sicherheitsgrenze zwischen lokalen Entwicklungstools und Produktions-Cloud-Umgebungen. Da die Grenze zwischen lokalen Entwicklermaschinen und Cloud-Infrastruktur durch Entwicklungscontainer und Cloud-Workstations verschwimmt, spiegeln Schwachstellen in Entwicklungstools zunehmend schwerwiegende Schwachstellen in der Unternehmensinfrastruktur wider. Sicherheitsverantwortliche in Unternehmen implementieren strenge ZTNA-Richtlinien (Zero Trust Network Access), um zu verhindern, dass Entwicklungsports jemals mit öffentlichen Netzwerken in Kontakt kommen.

## Worauf man als Nächstes achten sollte

DevOps- und Sicherheitsbetriebsteams müssen ihre externen Netzwerkperimeter, Cloud-Sicherheitsgruppenkonfigurationen und Firewall-Eingangsregeln sofort überprüfen, um sicherzustellen, dass die Entwicklungsports 5173 bis 5180 niemals öffentlich dem Internet ausgesetzt sind. Jedes Team, das Remote-Cloud-Entwicklungsserver betreibt, sollte bestätigen, dass lokale Dienste ausschließlich an „127.0.0.1“ gebunden sind oder über verschlüsselte SSH-Tunnel darauf zugegriffen wird.

Vorfallhelfer werden auch Dark-Web-Marktplätze und Threat-Intelligence-Feeds auf durchgesickerte Anmeldeinformations-Caches analysieren, die aus dieser Scan-Welle resultieren. Organisationen, die eine Gefährdung vermuten, sollten umgehend alle AWS-, Cloud-, Datenbank- und Repository-Zugriffstoken im Zusammenhang mit betroffenen Entwicklungsumgebungen rotieren, um nachgelagerte Gefährdungen abzuschwächen.

## Quellen

- [Vite GitHub-Sicherheit](https://github.com/vitejs/vite/security/advisories/GHSA-v2wj-q39q-566r)– Offizieller Upstream-Sicherheitshinweis, der die Sicherheitslücke bezüglich der Abfrageparameterumgehung definiert, die sich auf server.fs.deny auswirkt.
- [F5 Labs Intelligence](https://www.f5.com/labs/articles/cloud-takeover-mass-scanning-for-exposed-vite-endpoints-cve-2026-39364)– Telemetriebericht, der weit verbreitete automatisierte Scan-Kampagnen aufdeckt, die auf exponierte Vite-Ports aus Cloud-IP-Bereichen abzielen.
- [Die Hacker-News](https://thehackernews.com/2026/09/mass-scanning-campaign-exploits-vite.html)– Technische Aufschlüsselung von Botnet-Benutzeragenten, Syntax von Abfrageparameter-Exploits und gezielten sensiblen Pfaden.

Mentions: Vite-Kernteam, F5-Labore, Evan Du

## Sources
- [Vite GitHub-Sicherheit](https://github.com/vitejs/vite/security/advisories/GHSA-v2wj-q39q-566r)
- [F5 Labs Intelligence](https://www.f5.com/labs/articles/cloud-takeover-mass-scanning-for-exposed-vite-endpoints-cve-2026-39364)
- [Die Hacker-News](https://thehackernews.com/2026/09/mass-scanning-campaign-exploits-vite.html)