Ein zweiter Sicherheitsvorfall bei Zeabur innerhalb von zwei Monaten hat die Hosting-Plattform für Entwickler dazu veranlasst, ihre Schließung anzukündigen. Bei dem jüngsten Angriff wurden Informationen zu 321.810 Konten und etwa 3,2 Millionen Datensätze mit Umgebungsvariablen offengelegt.
Die Angreifer nutzten durchgesickerte interne Zugangsdaten, um am 14. und 15. Oktober auf die Hosting-Infrastruktur, dedizierte Server und die Produktionsdatenbank zuzugreifen. Zeabur plant, die Abschaltung seiner Dienste am 1. Dezember zu beginnen und den Prozess bis zum 31. Dezember 2026 abzuschließen.
Durchgesickerte Zugangsdaten ermöglichten Zugriff auf die Plattforminfrastruktur
Zeabur ermöglicht es Entwicklern, GitHub-Repositories zu verbinden und Anwendungen bereitzustellen, während die Plattform Datenbanken, HTTPS und die Infrastruktur verwaltet.
Laut dem Vorfallbericht des Unternehmens erlangten die Angreifer Administratorzugangsdaten und Cloud-Zugriffsschlüssel, die Zeabur im Klartext gespeichert hatte. Anschließend nutzten sie diese Zugangsdaten, um die gemeinsam genutzte Hosting-Infrastruktur und einige dedizierte Server zu kompromittieren, bevor sie auf interne Systeme zugriffen.
Der Sicherheitsvorfall betraf gemeinsam genutzte Cluster in neun Regionen. Neben Kontoinformationen erhielten die Angreifer Zugriff auf Millionen von Datensätzen mit Umgebungsvariablen, die Anwendungszugangsdaten und andere Geheimnisse enthalten können.
Die Anzahl der Datensätze entspricht jedoch nicht einer gleich hohen Zahl betroffener Personen oder eindeutiger Zugangsdaten.
Angreifer griffen auf Server zu und kopierten Kundendatenträger
Zeabur meldete Root-Anmeldungen auf 101 Google-Cloud-Servern, die 92 Nutzern zugeordnet waren. Die Angreifer fügten außerdem auf 50 Servern SSH-Schlüssel hinzu.
Darüber hinaus banden sie 16 Kopien von Kundendatenträgern in virtuelle Maschinen ein, die unter ihrer Kontrolle standen. Damit ging der Vorfall über den Zugriff auf die zentrale Datenbank der Plattform hinaus.
Einige Umgebungsvariablen waren von der jüngsten Offenlegung der Datenbank nicht betroffen, da Kunden sie zuvor ausschließlich auf ihre eigenen Server verschoben hatten. Dennoch konnten die Angreifer weiterhin auf diese Variablen zugreifen, wenn sie die Server kompromittierten, auf denen diese gespeichert waren.
Frühere Sicherheitsverletzung ließ wichtige Zugangsdaten unverändert
Der vorherige Sicherheitsvorfall bei Zeabur ereignete sich Ende August 2026. Die Angreifer nutzten eine Schwachstelle in der NextChat-Anwendung eines Kunden aus und bewegten sich anschließend durch interne Systeme, deren Isolierung unzureichend war.
Bei diesem Vorfall wurden AWS-Zugangsdaten offengelegt, wodurch der Zugriff auf die Produktionsdatenbank einschließlich Kontodaten, API-Schlüsseln und anderen Geheimnissen möglich wurde.
Zeabur vermutet, dass die Angreifer die Zugangsdaten für den Angriff im Oktober bereits während des früheren Sicherheitsvorfalls erlangt hatten. Das Unternehmen hat diesen Zusammenhang jedoch nicht bestätigt.
Das Unternehmen räumte außerdem Lücken bei seiner Reaktion auf den Vorfall ein. Einige Administrator-Tokens hatten kein Ablaufdatum und waren seit Januar 2024 unverändert geblieben.
Entscheidend war, dass Zeabur diese Tokens nach dem Sicherheitsvorfall im August nicht in die Rotation der Zugangsdaten einbezogen hatte. Gleichzeitig blieben die Administratorportale über das öffentliche Internet erreichbar.
Zeabur fordert Kunden zum Austausch offengelegter Zugangsdaten auf
Zeabur forderte betroffene Nutzer auf, offengelegte Zugangsdaten und Geheimnisse unverzüglich auszutauschen und alle aktiven Sitzungen zu widerrufen.
Das Unternehmen empfahl Kunden außerdem, kompromittierte Google-Cloud-Server neu aufzusetzen. Diese Wiederherstellungsmaßnahmen sollen Risiken über die ursprüngliche Offenlegung der Datenbank hinaus beheben, darunter den fortgesetzten Zugriff über SSH-Schlüssel, die von den Angreifern hinzugefügt wurden.
Kunden stehen daher sowohl vor der Aufgabe, ihre Systeme nach dem Vorfall wiederherzustellen, als auch vor der Notwendigkeit, ihre Anwendungen vor der Schließung der Plattform zu migrieren.
Abschaltung der Dienste beginnt am 1. Dezember
Zeabur erklärte, dass die steigende Nachfrage die Plattform zunehmend komplex und schwer zu warten gemacht habe. Nach dem jüngsten Vorfall bewertete das Team seine Fähigkeit, den Dienst verantwortungsvoll zu betreiben, erneut und beschloss, den Betrieb einzustellen.
Ab dem 1. Dezember wird Zeabur Vertragsverlängerungen deaktivieren und alle laufenden Dienste auf gemeinsam genutzten Clustern pausieren.
Bis zum 31. Dezember werden alle dedizierten Server auslaufen und abgeschaltet, während die gemeinsam genutzten Cluster ihren Betrieb einstellen werden.
Das Unternehmen deutete an, dass Kunden möglicherweise zusätzliche Zeit für die Migration ihrer Daten erhalten könnten. In der vorliegenden Ankündigung wurde jedoch kein bestätigter Zeitplan für eine Verlängerung genannt.
0 Kommentare zu „Zeabur kündigt Schließung nach zweitem Sicherheitsvorfall innerhalb von zwei Monaten an“