Im Auslieferungszustand bindet sich Vite laut F5 Labs an localhost und ist damit von aussen nicht erreichbar. Problematisch wird es, sobald Entwickler den Dienst bewusst oeffnen — etwa durch den Schalter –host, durch das Setzen von server.host oder durch falsch konfigurierte Port-Zuordnungen in Docker-Containern. Dann ist der Entwicklungsserver direkt aus dem lokalen Netz oder dem Internet ansprechbar.
Der eigentliche Angriff ist denkbar schlicht: Die Angreifer senden eine HTTP-GET-Anfrage an den Endpunkt /@fs/, verweisen auf einen sensiblen Dateipfad und haengen die Umgehungsparameter an. Der Server verarbeitet die Anfrage, die Pruefung von server.fs.deny greift nicht mehr, und der Inhalt der angeforderten Datei landet im Klartext im Antwortkoerper.
Richtet sich eine solche Anfrage gegen Konfigurationsverzeichnisse, koennen die Folgen erheblich sein. F5 nennt unbefugten Zugriff auf im Klartext hinterlegte API-Geheimnisse, Datenbankpasswoerter und administrative Cloud-Zugangsdaten. Das Unternehmen beobachtete mehrere Anfragen, die zum Muster der Schwachstelle passen und sowohl der Aufklaerung als auch der direkten Datenextraktion dienten.
Besonders aufschlussreich ist fuer die Forscher das Abklopfen des Pfads /proc/self/cwd/.env. Damit lasse sich die aktive .env-Datei relativ zum laufenden Prozess auslesen, ohne den absoluten Pfad der Webanwendung erraten zu muessen — ein Vorgehen, das laut F5 ein Verstaendnis des eingesetzten Deployment-Stacks erkennen laesst.
Um nicht aufzufallen, tarnen sich die Anfragen mit gefaelschten User-Agent-Kennungen, die bekannte Webcrawler und KI-Bots imitieren, darunter Googlebot, ClaudeBot, GPTBot, PerplexityBot, OAI-SearchBot und Amazonbot. Zusaetzlich schleusen die Angreifer manipulierte Werte in die Header X-Forwarded-For und X-Real-IP ein, beispielsweise 34.94.237[.]62 und 104.28.219[.]193. So sollen IP-basierte Zugriffslisten ausgehebelt und die Auswertung von Protokolldateien erschwert werden.
Ein erheblicher Teil der bösartigen Aktivitaet stammt nach Angaben von F5 aus den USA, Belgien, den Niederlanden, Singapur und Taiwan. Die Angreifer griffen dabei auf Adressbereiche der Google Cloud Platform aus den Netzen 34.x und 35.x zurueck, um unterhalb der Wahrnehmungsschwelle zu bleiben.
Damit eine Anwendung als betroffen gilt, muessen laut F5 Labs drei Bedingungen zusammenkommen — allen voran die Erreichbarkeit des Entwicklungsservers ueber das Netzwerk, die in der Standardkonfiguration nicht gegeben ist.