Möglicher Sicherheitsvorfall bei Railway führt zu dringender Warnung, geheime Schlüssel auszutauschen

Ein möglicher Sicherheitsvorfall bei Railway hat den Cloud-Hosting-Anbieter dazu veranlasst, alle Nutzer dringend aufzufordern, die auf seiner Plattform gespeicherten Zugangsdaten auszutauschen. Die Warnung folgt auf verdächtige Aktivitäten in Systemen, die Umgebungsvariablen von Kunden speichern.

Railway erklärte, dass ein unbefugter Dritter möglicherweise auf verschlüsselte Variablen zugegriffen und bei einigen davon entschlüsselte Inhalte erlangt habe. Die Ermittler konnten das vollständige Ausmaß des Vorfalls jedoch noch nicht feststellen.

Erste Erkenntnisse deuten darauf hin, dass möglicherweise nur ein Teil der Nutzer von einer Offenlegung betroffen ist. Dennoch empfiehlt das Unternehmen allen Nutzern, vorsorgliche Maßnahmen zu ergreifen.

Umgebungsvariablen können sensible Zugangsdaten enthalten

Railway ermöglicht Entwicklern die Bereitstellung von Anwendungen, APIs, Datenbanken und anderen Backend-Diensten. Die Plattform hat rund 4,8 Millionen Nutzer und hostet mehr als 16 Millionen Dienste.

Ihre Umgebungsvariablen enthalten Konfigurationseinstellungen, die Anwendungen während der Bereitstellung und des Betriebs benötigen. Diese Einstellungen können auch sensible Zugangsdaten enthalten.

Zu den möglicherweise offengelegten Geheimnissen gehören beispielsweise API-Schlüssel, Datenbankzugangsdaten und Zugangsdaten für private Container-Registries. Der Zugriff auf entschlüsselte Werte könnte daher auch verbundene Dienste außerhalb von Railway gefährden.

Die Untersuchung des Unternehmens deutet auf einen möglichen Zugriff auf diese Informationen hin, nicht auf eine bestätigte Offenlegung der Variablen sämtlicher Kunden.

Möglicher Sicherheitsvorfall bei Railway mit Angriffen auf KI-Anbieter verbunden

Railway beschrieb den Vorfall als Teil einer Reihe von Angriffen auf Anbieter von KI-Inferenzdiensten.

Diese Anbieter führen KI-Modelle aus und liefern Antworten an Anwendungen zurück, darunter auch solche, die auf Railway gehostet werden. Ihre API-Schlüssel können den Zugriff auf Modelldienste und deren Nutzung ermöglichen.

Das Unternehmen erklärte, dass es die betreffenden Anbieter direkt kontaktiert und ihnen vorsorglich empfohlen habe, sämtliche Schlüssel zu widerrufen.

Railway hat jedoch weder Einzelheiten zur Angriffsmethode veröffentlicht noch erklärt, wie der mutmaßliche Angreifer einige Variablen entschlüsselt haben könnte.

Alle Nutzer sollen Geheimnisse austauschen und Protokolle überprüfen

Obwohl die Untersuchung zunächst auf eine begrenzte Gruppe potenziell betroffener Nutzer hindeutete, forderte Railway alle Nutzer auf, die auf der Plattform gespeicherten Geheimnisse unverzüglich auszutauschen.

Die Empfehlung umfasst API-Schlüssel, Datenbankzugangsdaten und Zugangsdaten für private Registries sowie andere sensible Werte, die in Umgebungsvariablen gespeichert sind.

Darüber hinaus sollten Nutzer die Protokolle verbundener Dienste auf ungewöhnliche Aktivitäten überprüfen. Diese Kontrollen können dabei helfen, festzustellen, ob jemand möglicherweise offengelegte Zugangsdaten verwendet hat.

Railway erklärte, dass das Unternehmen Nutzer direkt kontaktieren werde, falls die Ermittler eine Kompromittierung ihrer Konten bestätigen. Außerdem plant es, im weiteren Verlauf der Untersuchung zusätzliche Informationen bereitzustellen.

Störungen bei Bereitstellungen hielten während der Untersuchung an

Railway setzte zunächst sämtliche Bereitstellungen aus, während das Unternehmen den Vorfall untersuchte. Dadurch konnten Kunden während dieser Unterbrechung keine neuen Anwendungsversionen bereitstellen.

Bis zum 22. Oktober um 08:44 Uhr UTC hatte das Unternehmen die Build-Prozesse für Pro- und Enterprise-Workspaces wiederhergestellt. Allerdings kam es bei Bereitstellungen weiterhin zu Verzögerungen, wobei viele in Warteschlangen standen.

Zu diesem Zeitpunkt waren Builds für Hobby-, Free- und Trial-Workspaces weiterhin nicht verfügbar. Railway plante, diese Tarife in genau dieser Reihenfolge wiederherzustellen.

Die teilweise Wiederherstellung bedeutete daher keine vollständige Rückkehr zum Normalbetrieb. Kunden waren weiterhin von Störungen bei Bereitstellungen betroffen, während das Unternehmen die mögliche Offenlegung untersuchte.