Railway приостановил все деплои: атакующие могли прочитать расшифрованные переменные окружения
Утром 21 октября Railway заметил необычную активность в системах, где хранятся переменные окружения клиентов. Совет компании: сменить все переменные, которые там лежат, включая API-ключи и учётные данные реестра.
Railway считает, что атака — часть более широкой кампании против платформенных компаний и провайдеров AI-инференса, и попросил вышестоящих провайдеров отозвать ключи. На время расследования деплои приостановлены.
В Discord Railway пользователи говорят, что украденные ключи уже используют, а один пишет, что нагрузка на ключи, созданные только для Railway, выросла через 10 часов после начала инцидента.
Что, по словам Railway, оказалось открыто
Раскрытие Railway сообщает, что неавторизованная третья сторона могла получить доступ к зашифрованным переменным окружения, а у части клиентов, возможно, получила и расшифрованное содержимое. Там могут быть API-ключи, учётные данные баз данных или реестра. Влияние, возможно, ограничено частью пользователей, но в посте нет цифр; затронутым клиентам придёт письмо. Railway настоятельно рекомендует сменить все переменные, хранящиеся на платформе, и учётные данные приватного реестра, а также проверить логи сервисов. Продолжение с проверкой подозрительного доступа к GCP и AWS опубликовали 22 октября.
Отчёты из Discord и запоздалое письмо
«Видел, что многие в Discord Railway подтверждают: их секреты, хранившиеся в Railway, использовали третьи лица, так что похоже, атакующие могли читать расшифрованные переменные окружения.» — участник Discord Railway
Сроки вызвали возмущение.
«Люди писали в Discord три часа назад, через 10 часов после начала инцидента, что ключи, созданные только для railway, резко набирали использование.» — клиент, который следил за обновлениями в Discord
Он добавляет, что сборки лежали больше 12 часов до отправки письма.
Пока Railway не опубликует охват, считайте, что ваши переменные попали в затронутую часть. Сначала смените ключи, а затем проверьте использование любого ключа, который существует только для Railway: именно там в отчётах из Discord злоупотребление заметили первым.
Получайте такие разборы каждый день
Главные истории Hacker News — на email, в Telegram или RSS.
Почему пожарные лестницы на фасадах Нью-Йорка простояли век до запрета
В 1860 году Нью-Йорк после пожара в доходном доме, где погибли десять человек, потребовал огнестойких лестниц или наружных выходов, даже для уже построенных зданий. Прикрутить стальную конструкцию к фасаду было просто дешевле, чем перестраивать лестницы внутри.