افشای امنیتی در Railway؛ دسترسی غیرمجاز به متغیرهای محیطی و توقف موقت استقرارها

پلتفرم ابری Railway طی یک اطلاعیه رسمی از شناسایی فعالیت‌های مشکوک در سیستم‌های ذخیره‌سازی متغیرهای محیطی (Environment Variables) خبر داد. بر اساس بررسی‌های اولیه، یک شخص ثالث غیرمجاز توانسته است به متغیرهای محیطی رمزنگاری‌شده دسترسی پیدا کرده و در مواردی، محتوای رمزگشایی‌شده آن‌ها را به دست آورد. این متغیرها معمولاً حاوی اطلاعات حساسی مانند کلیدهای API، اعتبارنامه‌های پایگاه‌های داده و رجیستری‌های خصوصی هستند.

زمینه و ابعاد حمله

شرکت Railway اعلام کرده است که این رویداد احتمالاً بخشی از یک سناریوی حمله گسترده‌تر است که در روزهای اخیر شرکت‌های ارائه‌دهنده پلتفرم و ارائه‌دهندگان استنتاج هوش مصنوعی (AI Inference Providers) را هدف قرار داده است. هدف مهاجمان از این حملات، به خطر انداختن و سوءاستفاده از زیرساخت‌های هوش مصنوعی عنوان شده است. تیم امنیتی Railway با ارائه‌دهندگان بالادستی تماس گرفته تا آن‌ها نیز نسبت به ابطال پیشگیرانه کلیدها اقدام کنند.

اقدامات فوری و توقف سرویس‌ها

برای جلوگیری از آسیب‌های احتمالی بیشتر، تمامی عملیات استقرار (Deployments) و بیلدها در این پلتفرم تا اطلاع ثانوی متوقف شده‌اند و کاربران امکان انتشار نسخه‌های جدید را ندارند. این شرکت اعلام کرده است که به‌محض مشخص شدن ابعاد دقیق حادثه و مشخص شدن اکانت‌های آسیب‌دیده، به مالکان آن‌ها ایمیل اطلاع‌رسانی ارسال خواهد کرد.

به تمامی توسعه‌گرانی که از این پلتفرم استفاده می‌کنند اکیداً توصیه شده است اقدامات زیر را انجام دهند:

• ابلاغیه‌های امنیتی را جدی بگیرید و بلافاصله تمام متغیرهای محیطی ذخیره‌شده در Railway شامل کلیدهای API و اعتبارنامه‌های رجیستری را باطل (Roll) کرده و مقادیر جدید جایگزین کنید.

• لاگز سرویس‌های خود را به دقت بررسی کنید تا هیچ‌گونه فعالیت غیرعادی یا درخواست مشکوکی مشاهده نشود.

• وضعیت سرویس را از طریق کانال‌های رسمی مثل status.railway.com دنبال کنید تا از زمان از سرگیری بیلدها مطلع شوید.

دیدگاه‌ها و واکنش‌های جامعه برنامه‌نویسان

در بحث‌های شکل‌گرفته در هکرنیوز و دیسکورد Railway، برخی توسعه‌دهندگان و بنیان‌گذاران استارتاپ‌ها گزارش داده‌اند که کلیدهای لورفته آن‌ها پیش از اطلاع‌رسانی رسمی توسط مهاجمان استفاده شده است. همچنین مهندسان نرم‌افزار درباره مکانیزم ذخیره‌سازی و رمزنگاری رازها (Secrets) در این پلتفرم پرسش‌هایی مطرح کرده‌اند و این حادثه را زنگ خطری جدی برای امنیت زنجیره تأمین ابری و پلتفرم‌های PaaS می‌دانند.