Intruz mógł odczytać sekrety klientów Railway, firma zaleca zmianę danych dostępowych

Platforma PaaS Railway ujawniła, że osoba nieuprawniona mogła uzyskać dostęp do zaszyfrowanych zmiennych środowiskowych części klientów, a w niektórych przypadkach także do ich odszyfrowanej treści. Firma unieważniła tokeny API Railway i zmieniła wszystkie dane dostępowe do bucketów. Poprosiła też dostawców zewnętrznych o unieważnienie kluczy. Według Railway incydent jest prawdopodobnie częścią serii ataków na firmy platformowe, których ostatecznym celem są dostawcy inferencji AI. Według Taylor Monahan (@tayvano_) napastnicy opróżnili portfele kryptowalut, których klucze prywatne były przechowywane w Railway. Pierwsza znana kradzież nastąpiła o 19:36, co najmniej dwie godziny przed oficjalnym ogłoszeniem incydentu.

Kogo dotyczy

Część użytkowników Railway. Firma nie podała ich liczby. Chodzi o zmienne środowiskowe, czyli klucze API, dane logowania do baz danych i inne sekrety trzymane poza kodem aplikacji.

Co zrobić

Railway wzywa klientów do zmiany danych dostępowych przechowywanych w zmiennych środowiskowych. W planach Pro i Enterprise buildy już działają, więc można w nich wprowadzić nowe dane dostępowe. Dla planów Hobby, Free i Trial firma wciąż przywraca buildy.