Bulut hosting platformu Railway, bu hafta başında müşteri ortam değişkenlerini (environment variables) saklayan sistemlerinde şüpheli bir etkinlik tespit ettiğini açıklayarak kullanıcılarına acil bir uyarı yayımladı. Şirketin yürüttüğü soruşturma, bazı durumlarda yetkisiz bir üçüncü tarafın şifresi çözülmüş değişken içeriklerini ele geçirmiş olabileceğine işaret ediyor. Bu nedenle Railway, tüm kullanıcıların proaktif biçimde sırlarını ve kimlik bilgilerini yenilemesini istiyor [1].
Railway nedir, ortam değişkenleri neden kritik?
Railway, geliştiricilerin uygulamalarını, API'leri, veritabanlarını ve çeşitli backend servislerini dağıtıp çalıştırmasına olanak tanıyan bir bulut platformu. Platformun yaklaşık 4,8 milyon kullanıcısı var ve 16 milyondan fazla servise ev sahipliği yapıyor [1]. Servis, dağıtımla ilgili yapılandırma ayarlarını ve kimlik bilgilerini ortam değişkenlerinde tutuyor; olay sırasında risk altına giren de tam olarak bu veriler oldu. Railway, ortam değişkenlerinin API anahtarları ya da veritabanı ve registry kimlik bilgileri gibi sırlar içerebileceğini özellikle vurguluyor [1].
Soruşturma ne gösteriyor?
Şirketin bugüne kadarki bulgularına göre yetkisiz bir üçüncü taraf şifrelenmiş ortam değişkenlerine erişmiş ve bunlardan bazılarının şifresi çözülmüş içeriğini elde etmiş olabilir [1]. İlk analizler yalnızca bir kullanıcı alt kümesinin etkilenebileceğini işaret etse de Railway ihtiyatlı davranıyor: Platformda saklanan tüm ortam değişkenlerinin ve sırlarının, özel (private) registry kimlik bilgileri dahil, derhal yenilenmesini ve ilişkili servis günlüklerinde olağandışı etkinlik olup olmadığının kontrol edilmesini öneriyor [1].
Saldırıların hedefi AI inference sağlayıcılarıydı
Railway, olayı AI inference sağlayıcılarını hedefleyen bir dizi saldırının parçası olarak değerlendiriyor. Bu sağlayıcılar, Railway üzerinde barındırılan uygulamalar adına AI modellerini çalıştıran ve yanıtları döndüren servisler. Şirket, etkilenen sağlayıcılara doğrudan ulaştığını ve ihtiyat gereği tüm anahtarlarını iptal etmelerini tavsiye ettiğini belirtiyor [1].
Dağıtımlar durduruldu, kurtarma aşamalı ilerliyor
Soruşturma tamamlanana kadar Railway tüm dağıtımları duraklattı; bu süreçte kullanıcılar yeni sürüm yayınlayamıyor [1]. Durum sayfasındaki en son güncellemeye göre 22 Ekim saat 08:44 UTC itibarıyla Pro ve Enterprise çalışma alanları için build süreçleri yeniden başlatılmıştı; ancak dağıtımlar hâlâ gecikmeliydi ve çok sayıda işlem kuyrukta bekliyordu [1]. Hobby, Free ve Trial çalışma alanlarında build'ler henüz devam etmiyordu; kurtarmanın bu sırayla planlandığı bildirildi [1]. Railway, ihlal edildiği doğrulanan hesapların sahiplerine doğrudan ulaşacak ve ayrıntıları paylaşacak.
Geliştiriciler şimdi ne yapmalı?
Uyarı kapsamındaki adımlar net: Platformda saklanan tüm ortam değişkenlerini ve sırlarını yenilemek, özel registry kimlik bilgilerini de güncellemek ve servis günlüklerinde olağandışı etkinlik izlerini kontrol etmek [1]. Şirket, yalnızca bir alt kümenin etkilendiği yönündeki ilk bulgulara rağmen bu adımların tüm kullanıcılar tarafından uygulanmasını istiyor.
Sonuç
Railway, şüpheli etkinliğin tespit edilmesinin ardından kullanıcılarını hızla bilgilendirdi, soruşturmayı başlattı ve dağıtımları geçici olarak durdurdu. Ortam değişkenleri API anahtarları ve veritabanı kimlik bilgileri gibi hassas sırları barındırabildiğinden, şirketin tüm kullanıcılara yaptığı yenileme çağrısı, olaydan etkilenip etkilenilmediğinden bağımsız olarak uygulanması gereken temel önlem olarak öne çıkıyor. Hesapları ihlal edildiği doğrulanan kullanıcıların doğrudan bilgilendirileceği ve gelişmelerin paylaşılacağı belirtildi [1].
Kaynaklar
- [1] Bill Toulas, “Railway warns devs to rotate secrets after potential breach”, BleepingComputer — bleepingcomputer.com