Ett andra säkerhetsintrång hos Zeabur på två månader har fått utvecklarnas hostingplattform att meddela att verksamheten ska läggas ner. Den senaste attacken exponerade information kopplad till 321 810 konton och cirka 3,2 miljoner poster med miljövariabler.
Angriparna använde läckta interna inloggningsuppgifter för att få åtkomst till hostinginfrastruktur, dedikerade servrar och produktionsdatabasen den 14–15 oktober. Zeabur planerar att börja stänga ner tjänsterna den 1 december och slutföra processen senast den 31 december 2026.
Läckta inloggningsuppgifter gav åtkomst till plattformens infrastruktur
Zeabur låter utvecklare ansluta GitHub-repositorier och distribuera applikationer medan plattformen hanterar databaser, HTTPS och infrastruktur.
Enligt företagets incidentrapport fick angriparna tag på administratörsuppgifter och åtkomstnycklar till molntjänster som Zeabur hade lagrat i klartext. Därefter använde de uppgifterna för att kompromettera delad hostinginfrastruktur och vissa dedikerade servrar innan de nådde interna system.
Intrånget påverkade delade kluster i nio regioner. Utöver kontoinformation fick angriparna åtkomst till miljontals poster med miljövariabler, som kan innehålla inloggningsuppgifter för applikationer och andra hemligheter.
Antalet poster motsvarar dock inte ett lika stort antal drabbade personer eller unika inloggningsuppgifter.
Angriparna fick åtkomst till servrar och kopierade kundernas diskar
Zeabur rapporterade root-inloggningar på 101 Google Cloud-servrar kopplade till 92 användare. Angriparna lade också till SSH-nycklar på 50 servrar.
Dessutom anslöt de 16 kopior av kundernas diskar till virtuella maskiner under deras kontroll. Detta innebar att incidenten sträckte sig längre än åtkomsten till plattformens centrala databas.
Vissa miljövariabler undgick den senaste databasexponeringen eftersom kunder tidigare hade flyttat dem uteslutande till sina egna servrar. Angriparna kunde dock fortfarande komma åt dessa variabler om de komprometterade servrarna där de lagrades.
Tidigare intrång lämnade viktiga inloggningsuppgifter oförändrade
Det föregående säkerhetsintrånget hos Zeabur inträffade i slutet av augusti 2026. Angriparna utnyttjade en sårbarhet i en kunds NextChat-applikation och tog sig därefter vidare genom interna system med otillräcklig isolering.
Den incidenten exponerade AWS-inloggningsuppgifter och möjliggjorde åtkomst till produktionsdatabasen, inklusive kontouppgifter, API-nycklar och andra hemligheter.
Zeabur misstänker att angriparna fick tag på inloggningsuppgifterna för intrånget i oktober under den tidigare attacken. Företaget har dock inte bekräftat sambandet.
Företaget erkände också brister i sin incidenthantering. Vissa administratörstoken saknade utgångsdatum och hade förblivit oförändrade sedan januari 2024.
Avgörande var att Zeabur inte inkluderade dessa token i rotationen av inloggningsuppgifter efter intrånget i augusti. Samtidigt förblev administratörsportalerna tillgängliga från det offentliga internet.
Zeabur uppmanar kunder att ersätta exponerade hemligheter
Zeabur uppmanade drabbade användare att omedelbart byta ut exponerade inloggningsuppgifter och hemligheter samt återkalla alla aktiva sessioner.
Företaget rekommenderade också kunder att bygga om komprometterade Google Cloud-servrar. Dessa återställningsåtgärder hanterar risker utöver den ursprungliga databasexponeringen, inklusive fortsatt åtkomst genom SSH-nycklar som angriparna lagt till.
Kunderna står därför inför både arbete med att återhämta sig från incidenten och behovet av att flytta sina applikationer innan plattformen stängs ner.
Nedstängningen av tjänsterna inleds den 1 december
Zeabur uppgav att den växande efterfrågan hade gjort plattformen alltmer komplex och svår att underhålla. Efter den senaste incidenten omprövade teamet sin förmåga att driva tjänsten på ett ansvarsfullt sätt och beslutade att avveckla verksamheten.
Från och med den 1 december kommer Zeabur att inaktivera förnyelser och pausa alla tjänster som körs på delade kluster.
Senast den 31 december kommer alla dedikerade servrar att löpa ut och stängas ner, medan de delade klustren upphör att fungera.
Företaget antydde att kunderna eventuellt kan få ytterligare tid för att migrera sina data. Det hade dock inte angett någon bekräftad tidsplan för en förlängning i det tillhandahållna meddelandet.
0 svar till ”Zeabur meddelar nedstängning efter andra säkerhetsintrånget på två månader”