Railway 21. oktobrī apturēja visas izvietošanas. Taivānas platforma Zeabur paziņoja par slēgšanos. PingCAP atzina, ka TiDB Cloud iekšējās sistēmas uzbrucēji lasīja četras nedēļas. Trīs izstrādātāju platformas dažu dienu laikā atklāja drošības incidentus, kuros noplūda klientu vides mainīgie: API atslēgas, datubāzu paroles un reģistru tokeni.
Katrs incidents sākās vienādi. Nozagti vai atklātā tekstā atstāti akreditācijas dati ļāva uzbrucējiem iekļūt iekšējās sistēmās bez sarežģītiem ekspluatācijas paņēmieniem.
Railway: šifrēti mainīgie, iespējams, atšifrēti
Railway ir viena no populārākajām PaaS platformām aplikāciju izvietošanai tieši no Git repozitorijiem. Platformas sākotnējais ziņojums norāda, ka anomāla darbība tika konstatēta 21. oktobrī. Uzbrucēja aktivitāte ilga no 20. oktobra plkst. 13:58 UTC līdz 22. oktobra plkst. 03:32 UTC, kopā aptuveni 37 stundas.
Sākotnējā analīze liecina, ka aptuveni 1,85 % darba telpu (ap 100 000) potenciāli skarti. Šifrētie vides mainīgie, iespējams, tika atšifrēti. Platforma nekavējoties anulēja visus API tokenus un OAuth sesijas. Izvietošanas tika apturētas uz vairākām stundām, kamēr komanda pārbaudīja infrastruktūru.
Railway norāda, ka uzbrukums iekļaujas plašākā kampaņā pret platformu uzņēmumiem. Mērķis ir caur šīm platformām sasniegt AI inferenču pakalpojumu sniedzējus. AI API atslēgām ir augsta tirgus vērtība, jo ar tām var patērēt lielas skaitļošanas resursu kvotas citu rēķinā.
Zeabur zaudē 3,2 miljonus ierakstu un slēdzas
Taivānas PaaS platforma Zeabur 19. oktobrī publiskoja sākotnējo ziņojumu par 14. un 15. oktobrī notikušu ielaušanos. Uzbrucējs izmantoja administratora piekļuves atslēgas, kas bija glabātas vienkāršā tekstā (plaintext) bez papildu aizsardzības.
BleepingComputer ziņo, ka nolasīti 3,2 miljoni vides mainīgo ierakstu. Atklāti dati par 321 810 kontiem. Uzbrucējs pieslēdzās ar root tiesībām 101 Google Cloud serverim un pievienoja SSH atslēgas 50 no tiem. Papildus tika izveidotas 16 klientu disku kopijas, pievienojot tās uzbrucēja virtuālajām mašīnām.
Zeabur paziņoja, ka pārtrauks darbību līdz 2026. gada 31. decembrim. Divi nopietni drošības incidenti divu mēnešu laikā padarīja platformas turpmāko darbību neiespējamu.
Šis bija otrais uzbrukums kopš augusta. Uzbrucēji administratora atslēgas, visticamāk, ieguva jau pirmajā uzlaušanā augusta beigās. Pēc pirmā incidenta atslēgas netika nomainītas, kas pavēra ceļu atkārtotam uzbrukumam.
PingCAP atzīst četru nedēļu piekļuvi TiDB Cloud sistēmām
TiDB datubāzes izstrādātājs PingCAP atklāja, ka nesankcionēta piekļuve iekšējām sistēmām ilga no 9. septembra līdz 7. oktobrim. Uzbrucējs izmantoja zagtus servisa konta akreditācijas datus.
The Hacker News ziņo, ka tika nokopēts uzņēmuma pirmkods, SQL redaktora saturs un šifrētas API atslēgu vērtības. PingCAP norāda, ka nav atrasti pierādījumi par piekļuvi datiem klientu TiDB klasteros. Ar četru nedēļu piekļuves logu izmeklēšana vēl nav pabeigta.
Kopējais cēlonis: atslēgas bez derīguma termiņa
Visos trīs gadījumos uzbrukumu pamatā bija ilgstoši dzīvojošas (long-lived) akreditācijas atslēgas bez automātiskas rotācijas. Railway gadījumā tiek izmeklēts, kā uzbrucējs ieguva piekļuvi šifrēšanas sistēmai. Zeabur glabāja administratora atslēgas plaintext formātā, pieejamas no publiskā interneta. PingCAP lietoja servisa kontu ar plašām tiesībām, kura akreditācijas dati tika kompromitēti.
Līdzīga shēma bija redzama 2024. gada uzbrukumos pret CircleCI un Codecov, kad caur izstrādes rīku kompromitēšanu tika skarti tūkstošiem lejupējās plūsmas projektu. 2026. gadā mērķis ir šaurāks: vides mainīgie ar AI pakalpojumu atslēgām. Viena kompromitēta OpenAI vai Anthropic API atslēga var radīt tūkstošiem dolāru zaudējumus dažu stundu laikā, jo uzbrucēji izmanto tās masveida inferenču pieprasījumiem.
Ko darīt skartajiem lietotājiem
Visi trīs uzņēmumi iesaka vienu darbību: rotēt visus noslēpumus tūlīt, negaidot individuālu paziņojumu.
- Nomainīt katru API atslēgu, datubāzes paroli un tokenu, kas jebkad glabāts skartajā platformā.
- Pārbaudīt visu saistīto servisu žurnālus, meklējot nesankcionētus pieprasījumus ar vecajiem akreditācijas datiem pēc uzbrukuma datumiem.
- Izvērtēt ārēju noslēpumu pārvaldnieku (HashiCorp Vault, AWS Secrets Manager vai līdzīgu) kritiskajiem akreditācijas datiem, lai platforma nekad neredzētu atslēgu vērtības.
- Ieviest automātisku atslēgu rotāciju ar ierobežotu derīguma termiņu, lai kompromitētu datu izmantošanas logs būtu pēc iespējas mazāks.
Nevienam no šiem incidentiem nav piešķirts CVE numurs. Problēma ir infrastruktūras konfigurācijā, tāpēc ievainojamību skeneri šos riskus neuzrādīs.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.