Railway warnt, dass sich eine unbefugte Partei möglicherweise Zugriff auf Systeme verschafft hat, in denen Umgebungsvariablen der Kunden gespeichert sind. Dadurch könnten API-Schlüssel, Datenbank-Zugangsdaten und andere Geheimnisse offengelegt worden sein, die von Anwendungen beim Platform-as-a-Service-Anbieter genutzt werden.
Laut einem Bericht, der Railways Mitteilung wiedergibt, hat das Unternehmen „ungewöhnliche Aktivität“ in den Systemen festgestellt, die diese Variablen speichern. Railway erklärte, die betroffenen Daten seien verschlüsselt gewesen, räumte aber ein, dass der Eindringling in einigen Fällen möglicherweise an die entschlüsselten Inhalte gelangt sei.
Den Umfang beschrieb Railway als auf eine „Teilmenge der Nutzer“ begrenzt, ohne die Zahl der betroffenen Kunden, Workspaces oder Konten anzugeben.
Warum der Zugriff auf Umgebungsvariablen nachgelagerte Risiken schafft
Umgebungsvariablen sind Schlüssel-Wert-Paare, die auf Betriebssystem- oder Container-Ebene konfiguriert werden. So können Anwendungen sensible Werte nutzen, ohne sie direkt in den Quellcode einzubetten. Typischerweise enthalten sie API-Schlüssel, Datenbankpasswörter, Zugangsdaten für private Registries und Konfigurationsflags.
Wenn ein gültiger Zugangsdatensatz in entschlüsselter Form erlangt wurde, könnte er auch dann gegen den entsprechenden externen Dienst eingesetzt werden, wenn Railways eigene Systeme bereits abgesichert sind. Railway rät Kunden daher:
- Alle auf Railway gespeicherten Umgebungsvariablen rotieren, einschließlich API-Schlüssel.
- Zugangsdaten für private Registries rotieren.
- Logs der betroffenen Dienste prüfen und nach ungewöhnlicher Aktivität suchen.
Kunden sollten die Rotation als Austausch verstehen und nicht bloß dieselben Werte erneut eintragen. Bei der Prüfung der Service-Logs sollten zudem alle Systeme berücksichtigt werden, die mit diesen Zugangsdaten erreicht wurden, nicht nur Railway-Deployments.
Railway widerruft Tokens und stellt Build-Kapazität wieder her
Railway teilte mit, vorgelagerte Anbieter benachrichtigt zu haben, damit diese Schlüssel proaktiv widerrufen und Missbrauch verhindern können. Außerdem hat das Unternehmen alle Railway-Bucket-Zugangsdaten rotiert und API-Tokens von Railway ungültig gemacht.
Zum Zeitpunkt der Stellungnahme waren Builds für Pro- und Enterprise-Workspaces wiederhergestellt, sodass diese Kunden neu ausgestellte Zugangsdaten bereitstellen konnten. Bei Hobby-Workspaces lief die Wiederherstellung noch, gefolgt von Free- und Trial-Konten.
Der Vorfall beeinträchtigte außerdem den regulären Betrieb. Railway meldete eine höhere Rate an fehlgeschlagenen Builds, während viele Deployments länger als üblich in der Warteschlange blieben.
Forscher bringt den Vorfall mit Kryptowährungsdiebstahl in Verbindung
Der Sicherheitsforscher Taylor Monahan, bekannt als @tayvano_, führte Diebstähle von Kryptowallets auf folgende Adresse zurück:
0xd9773325282874d18cb83f1fe50f14c39750b2ee
Monahan behauptete, der Angreifer habe Wallets leergeräumt, deren private Schlüssel auf Railway gespeichert gewesen seien. Die erste bekannte Diebstahl-Transaktion soll um 19:36 Uhr stattgefunden haben, also mindestens zwei Stunden vor Railways Offenlegung. Zu dieser Uhrzeit wurde weder ein Datum noch eine Zeitzone angegeben, und das vorliegende Material belegt nicht, dass Railway die Zuordnung bestätigt hat.
Railway schätzte zudem ein, dass der Einbruch wahrscheinlich Teil einer breiteren Serie von Angriffen auf Plattformunternehmen war, bei der Anbieter von KI-Inferenz letztlich die Ziele sein sollten. Dabei handelt es sich weiterhin um die Einschätzung des Unternehmens und nicht um einen belegten Zusammenhang mit einer benannten Kampagne.
Für Kunden hat jetzt vor allem Priorität, jedes bei Railway gespeicherte Geheimnis zu ersetzen, die neuen Werte bereitzustellen, sobald Workspace-Builds verfügbar sind, und die mit diesen Zugangsdaten verbundenen Dienste auf unbefugte Nutzung zu prüfen.
