해커, 노출된 Vite 개발 서버 대량 스캔으로 AWS·Azure 비밀 탈취 시도

인터넷 노출 Vite 개발 서버 대량 스캔으로 AWS·Azure 비밀 탈취 시도

공격자는 Vite 개발 서버의 취약점 ‘CVE-2026-39364’를 악용해 인터넷에 노출된 엔드포인트를 자동 스캔하며 AWS·Azure 클라우드 자격증명과 설정 파일을 평문으로 탈취하려 시도한다.
이 취약점은 Vite 개발 서버의 파일 접근 통제를 우회해 .env, AWS·Azure 토큰, Terraform 상태 파일 등 민감한 설정을 인증 없이 읽을 수 있게 하고, 쿼리 파라미터 ‘?raw’, ‘?import&raw’ 등을 활용해 HTTP 200 응답으로 비밀 데이터를 제공하게 만든다.
F5 보안팀은 허니팟과 센서를 통해 인터넷 노출 Vite 인스턴스에 대한 자동화된 대량 스캔을 포착했으며, 공격자는 광범위한 워드리스트를 돌려 다양한 경로의 환경파일과 클라우드 키, 서버리스 설정, /proc/self/environ 등 시스템 정보를 체계적으로 수집한다.
F5는 약 1개월 분석 기간에 Vite 엔드포인트를 향한 807건의 공격 세션과 약 32,000개의 이벤트를 기록했으며, 취약 버전은 Vite 7.1.0~7.3.2와 8.x의 8.0.5 이전까지로, 이 기간 개발 서버를 외부에 노출한 조직은 자격증명 교체와 패치가 시급하다.
이번 캠페인은 개발·테스트용 웹 빌드 도구인 Vite가 실제로는 클라우드 운영 환경의 핵심 비밀을 담은 게이트웨이 역할을 한다는 점을 드러내며, 클라우드 인프라 코드(IaC)와 환경파일을 통한 원격 계정 탈취가 대규모 클라우드 장악으로 직결될 수 있음을 보여준다.
국내에서도 프런트엔드·웹서비스 개발에 Vite 같은 개발 서버를 널리 사용하는 만큼, 클라우드 자격증명과 환경파일 분리, 인터넷 노출 개발 서버 금지, 취약 버전 점검·패치 의무화 등을 클라우드 보안 가이드와 규제·조달 기준에 즉시 반영할 필요가 크다.

클라우드 비밀이 개발 서버에서 대량으로 노출된 사건인 만큼, 정책 담당자는 개발·테스트 환경을 포함한 ‘전체 소프트웨어 공급망’에 대한 클라우드 자격증명 관리와 노출 금지 기준을 마련하고, 공공·민간에 Vite 등 개발도구 취약 버전 점검과 비밀 회전을 단기간에 완료하도록 유도할 필요가 있다.

주요 용어: Vite(웹 애플리케이션을 개발·테스트하기 위한 프런트엔드 빌드·개발 서버 도구), 클라우드 자격증명(AWS·Azure 등 클라우드 계정의 접근 키와 토큰, API 비밀값)

출처: BleepingComputer