Hostingplatform Railway heeft bekendgemaakt dat een onbevoegde partij mogelijk toegang heeft gekregen tot versleutelde omgevingsvariabelen van klanten. Railway is een Platform-as-a-Service-aanbieder waarop ontwikkelaars applicaties kunnen bouwen en draaien zonder zelf de onderliggende infrastructuur te beheren.
Het bedrijf meldde op woensdag 21 oktober voor het eerst “ongebruikelijke activiteit” in de systemen die klantomgevingsvariabelen opslaan. Nader onderzoek wees uit dat een derde partij mogelijk toegang kreeg tot die versleutelde gegevens, en dat in sommige gevallen ook de ontsleutelde inhoud is buitgemaakt. Railway zegt dat de impact beperkt is tot een deel van de gebruikers, zonder een exact aantal te noemen. Het bedrijf vermoedt dat de aanval onderdeel is van een bredere reeks aanvallen op platformbedrijven, met als uiteindelijk doel het compromitteren van AI-inferentieproviders.
Omgevingsvariabelen bevatten doorgaans gevoelige gegevens zoals API-sleutels, databasewachtwoorden en feature flags, die normaal gesproken bewust buiten de broncode worden gehouden. Een beveiligingsonderzoeker meldde bovendien dat aanvallers cryptowallets hebben leeggehaald waarvan de private keys op Railway waren opgeslagen, met een eerste diefstaltransactie die al uren voor de openbare melding zou hebben plaatsgevonden. Railway heeft die specifieke claim niet bevestigd.
Als voorzorgsmaatregel adviseert Railway alle klanten om de omgevingsvariabelen die op het platform zijn opgeslagen te roteren, inclusief API-sleutels en inloggegevens voor private registries, en om de logs van de betrokken diensten te controleren op ongebruikelijke activiteit. Railway heeft zelf alle eigen bucket-credentials geroteerd en API-tokens ongeldig gemaakt, en heeft upstream-providers geïnformeerd zodat zij sleutels uit voorzorg kunnen intrekken. Voor Pro- en Enterprise-klanten zijn builds inmiddels weer mogelijk met nieuwe credentials; voor Hobby-, Free- en Trial-gebruikers werkt het herstel nog door, met langere wachttijden en meer mislukte builds dan normaal.
Draait uw bedrijf applicaties op Railway, roteer dan sowieso alle API-sleutels, databasewachtwoorden en andere secrets die in de omgevingsvariabelen van uw projecten stonden, ook zonder directe melding. Sla nooit de private key van een cryptowallet op als gewone omgevingsvariabele bij een hostingpartij; gebruik daarvoor een apart beveiligd systeem, zoals een hardware wallet of dedicated secretsbeheer met extra toegangscontrole.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Host u applicaties op Railway of een vergelijkbaar PaaS-platform? Roteer uit voorzorg alle API-sleutels en wachtwoorden uit uw omgevingsvariabelen en bewaar cryptowallet-sleutels nooit op die manier.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.