クラウドの鍵が第三者の手に渡った可能性
クラウドサービスへのアクセスキーが、悪意のある第三者の手に渡った可能性があります。原因は、開発者が機密情報の保管先として信頼していたプラットフォームへの侵害です。Railwayは自社インフラ内で不審なアクティビティを検知し、全ユーザーに対してパスワードやAPIキーなどの認証情報を直ちに交換するよう呼びかけました。
Railwayが確認した事実
Railwayは10月21日、顧客アプリケーションの環境変数を保管するシステムへの不正アクセスの兆候を検知しました。調査の結果、外部の第三者が暗号化された値を取得した可能性があることが判明しています。場合によっては、復号された内容も閲覧された恐れがあります。
環境変数には、データベースのパスワードやAPIトークン、プライベートなパッケージレジストリへのアクセスキーが保存されていることが少なくありません。
被害がRailwayの外にも及ぶ理由
リスクはプラットフォーム自体にとどまりません。認証情報が盗まれれば、攻撃者は第三者のクラウドサービスに侵入し、データベースからデータを読み取れる可能性があります。正規の所有者になりすまして、有料APIを利用することもできてしまいます。
これと似た手口は、以前にもAI基盤への攻撃で確認されています。この攻撃では、侵入者がアプリケーションの環境変数からシークレットを抜き出していました。
AIプロバイダーへの攻撃との関連の可能性
Railwayは、今回のインシデントがクラウドプラットフォームを狙った一連の攻撃の一部だと疑っています。最終的な標的は、AIモデルを稼働させるサービスの提供事業者だとみています。同社は関係するプロバイダーに通知し、アクセスキーをあらかじめ失効させるよう促しました。
具体的なプロバイダー名は明らかにされていません。他の攻撃との関連も、現時点では暫定的な見方にとどまります。
Railwayによる封じ込め措置
防御措置として、Railwayはビルドとデプロイを一時停止しました。ダッシュボードとAPIにも制限をかけています。同社は、すでに作成済みのプロジェクトトークンを含むRailway APIトークンを自ら失効させ、クラウドストレージの認証情報も交換しました。
一部のユーザーは、特定のGitHub連携の再接続も必要になりました。この一時停止により、新しい設定を稼働中のアプリケーションへ即座に適用できず、シークレットのローテーションは難しくなりました。
サービス状況の更新
10月23日までに、FreeやTrialを含む全プランでビルドとデプロイが再開されました。新規サインアップの一時停止は継続しています。Railwayは、侵害の可能性が高い顧客へのメール送信も開始しました。
重要な事実の一部は、依然として公表されていません。
- 影響を受けたアカウントの正確な数
- 最初の侵入経路
- 流出の全容
潜在的なリスクの規模
同プラットフォームの利用者は約480万人、サービス数は1,600万件超にのぼります。ただし、これらの数字は全アカウントが被害に遭ったことを意味しません。Railwayは暫定的に、影響を受けた顧客は一部にとどまるとみています。
ユーザーが今すぐ取るべき対応
それでも同社は、すべての顧客に次の3つの対応を推奨しています。
- 保存しているシークレットの交換
- 古いキーの失効
- サービスログでの不審なアクティビティの確認
Railwayは、10月23日にインシデントの暫定報告書を公開する予定でした。
翻訳元: https://meterpreter.org/railway-security-breach/
