Нэг л параметр залгахад `.env` ил гарна: Vite-ийн Dev серверийг онилсон масс дайралт AWS, Azure түлхүүрүүдийг цөлмөж байна

Вэб хөгжүүлэгчдийн дунд өдөр тутам ашиглагддаг хамгийн түгээмэл хэрэгслүүдийн нэг болох Vite хөгжүүлэлтийн сервер (Dev Server)-ийг чиглэсэн асар том сканиердах дайралтын давалгаа яг одоо өрнөж байна.

Кибер аюулгүй байдлын F5 Labs болон BleepingComputer-ийн сүүлийн мэдээгээр, хакерууд интернетэд санамсаргүйгээр задгай орхисон Vite серверүүд рүү CVE-2026-39364 (CVSS оноо: 8.2) эмзэг байдлыг ашиглан автоматаар дайрч байна. Тэд хөгжүүлэгчдийн серверийн .env, cloud тохиргоо, тэр ч бүү хэл Terraform state файлуудыг олноор нь хулгайлж байгаа нь илэрчээ.

Хэрэв та орон нутгийн сүлжээндээ тест хийх, эсвэл VPS, Docker контейнер дотор туршилт явуулахын тулд vite --host комманд ажиллуулдаг бол энэ нийтлэлд анхаарлаа хандуулаарай.

"Энгийн нэг query параметр" хэрхэн хамгаалалтыг сөхөв?

Vite нь фронтенд хөгжүүлэлтийн явцад файлуудыг маш хурдан дуудах зориулалт бүхий дотоод @fs чиглүүлэлтийн (route) механизмыг ашигладаг. Мэдээж хэрэг хөгжүүлэгчийн машины нууц мэдээллийг хамгаалахын тулд server.fs.deny тохиргоо байдаг ба энэ нь .env, сертификатууд (*.crt, *.pem) болон системийн чухал файлуудыг браузераас дуудахыг шууд хаах (HTTP 403 Forbidden) үүрэгтэй.

Гэвч илэрсэн CVE-2026-39364 цоорхой нь энэхүү хамгаалалтыг нүд ирмэхийн зуур үнэ цэнгүй болгож орхижээ.

Халдагч тухайн файлын URL-ийн төгсгөлд дараах параметрүүдийг залгахад л хангалттай байв:

?raw
?import&raw
?import&url&inline

Параметр залгагдсан хүсэлтийг Vite-ийн dev сервер боловсруулахдаа хориотой жагсаалт буюу server.fs.deny-ийн шалгалтыг тойрч гарч, хориотой файлыг шууд HTTP 200 OK төлөвтэйгөөр, цэвэр эх текстээр (plaintext) нь буцааж байгаа юм. Ямар ч нэвтрэх нэр, нууц үг, authentication шаардлагагүй.

# Энгийн хүсэлт 403 Forbidden буцаана:
curl -i http://target-ip:5173/src/.env

# Гэтэл query залгахад бүх нууц түлхүүр 200 OK-оор ил гарна:
curl -i http://target-ip:5173/src/.env?raw

32,000 гаруй дайралт: Хакерууд юу хайж байна вэ?

F5 Labs-ийн honeypot мэдрэгчийн датагаас үзэхэд сүүлийн сард интернэт даяар 800 гаруй зохион байгуулалттай сесс, 32,000 давсан сканиердах оролдлого бүртгэгдсэн нь өмнөх саруудтай харьцуулахад огцом өссөн үзүүлэлт юм.

Халдагчид зүгээр ч нэг таамгаар үзэх бус, тусгайлан бэлтгэсэн автомат скриптүүдээр дараах өндөр үнэ цэнтэй файлуудыг системтэйгээр шүүрдэж байна:

Орчны хувьсагчид: .env, .env.production, .env.local, .env.backup
Клаудын хандалтын түлхүүрүүд: Хэрэглэгчийн home директори дахь AWS credential болон config файлууд (~/.aws/credentials), Azure-ийн access token-ууд (azureProfile.json)
Дэд бүтцийн нууцууд: Terraform-ийн төлөвийн файлууд (terraform.tfstate, .tfvars), Serverless тохиргоонууд
Үйлдлийн системийн өгөгдөл: Линуксийн санах ойн процесс дахь орчны мэдээлэл (/proc/self/environ, /proc/1/environ) болон системийн хэрэглэгчдийн жагсаалт (/etc/passwd)

Түүнчлэн урвуу прокси (reverse proxy) болон WAF (Web Application Firewall)-ийг хуурахын тулд %252e%252e%252f гэх мэт давхар кодлогдсон path traversal дайралтын аргуудыг хавсарган ашиглаж байгаа нь ажиглагджээ.

Таны систем өртсөн үү? Хэн эрсдэлд орсон бэ?

Энэхүү цоорхой нь зөвхөн орон нутгийн машин дээрээ (localhost:5173) ажиллаж буй тохиолдолд харьцангуй аюул багатай. Гэвч дараах түгээмэл нөхцөлүүдийн аль нэг нь биелсэн бол та ноцтой аюулд орсон гэсэн үг:

Vite-ийг эхлүүлэхдээ --host эсвэл server.host: '0.0.0.0' тохиргоо хийсэн
Утас, таблет эсвэл хамтрагчдаа үзүүлэхээр нийтийн IP дээр серверээ порттой нь нээлттэй орхисон
Docker контейнерийн 5173 портыг гадаад сүлжээ рүү шууд map хийсэн (5173:5173)
AWS EC2, DigitalOcean эсвэл VPS дээр staging/dev зорилгоор Vite серверээ ажиллуулаад Security Group-ээр интернэтэд ил орхисон

Өртсөн хувилбарууд:

Vite 7.1.0-аас 7.3.1 хүртэлх хувилбарууд
Vite 8.0.0-аас 8.0.4 хүртэлх хувилбарууд

Хөгжүүлэгчид яг одоо юу хийх ёстой вэ?

1. Vite-ээ яаралтай Patch хувилбар руу шинэчил

Vite баг энэхүү цоорхойг зассан хувилбаруудыг албан ёсоор гаргасан. Төслийнхөө хамаарлыг шалгаж, шинэчил:

Vite 7 ашиглаж байгаа бол: v7.3.2 буюу түүнээс дээш
Vite 8 ашиглаж байгаа бол: v8.0.5 буюу түүнээс дээш хувилбар луу шинэчлэх шаардлагатай.

# npm ашигладаг бол
npm install vite@latest

# pnpm ашигладаг бол
pnpm update vite

2. Хөгжүүлэлтийн серверийг хэзээ ч интернэтэд бүү ил гарга

Dev server нь зөвхөн хөгжүүлэлтэд зориулагдсан хөнгөн сервер бөгөөд продакшн түвшний аюулгүй байдлын хамгаалалтгүй байдаг. Гадаад сүлжээнээс хандах шаардлага гарвал:

Нийтийн IP дээр шууд нээхийн оронд Tailscale, Cloudflare Tunnel, эсвэл SSH Port Forwarding (ssh -L) ашигла.
AWS Security Group болон галт ханын тохиргоондоо 5173, 3000 зэрэг dev портуудыг зөвхөн өөрийн IP-ээр хязгаарласан эсэхээ дахин нягтал.

3. Түлхүүрүүдээ сэлгэж (Rotate) шинэчил

Хэрэв таны сервер интернэтэд ил байсан бөгөөд дээрх эмзэг хувилбаруудыг ажиллуулж байсан бол .env файлд байсан бүх нууц үг, API түлхүүрүүд, AWS IAM credentials, мэдээллийн баазын холболтуудыг задруулсанд тооцож, нэн даруй хүчингүй болгоод шинээр үүсгээрэй.

Dev tooling-ийг интернэтэд хэрхэн нээж байгаа тань таны дэд бүтцийн хамгийн эмзэг сул тал болж хувирах эрсдэлтэйг энэ удаагийн дайралт дахин сануулж байна.

Эх сурвалж: BleepingComputer, F5 Labs Security Research, GitHub Advisory Database (GHSA-v2wj-q39q-566r).