アプリケーションのデプロイ用プラットフォームであるRailwayは、顧客の環境変数を保存するシステムに関連する異常なアクティビティを検知したと発表しました。同社の調査により、権限のない第三者が暗号化された変数にアクセスし、場合によってはその復号された内容を正常に入手した可能性があることが判明しました。これらの変数は、APIキー、データベースの認証情報、レジストリ情報などの機密性の高い秘密情報を含むことがよくあります。Railwayは、このインシデントが、AI推論プロバイダーを侵害することを目的としたプラットフォーム企業を標的とする広範な攻撃トレンドの一部であると考えています。
この画像は、Railwayからの公式なセキュリティ開示発表の主要なビジュアルとして機能します。
リスクを軽減するため、Railwayはすべてのユーザーに対し、APIキーやプライベートレジストリの認証情報を含むすべての環境変数を直ちにローテート（更新）するようアドバイスしました。また、同社はユーザーに対し、異常なアクティビティの兆候がないかサービスログを確認することも推奨しています。対応の一環として、Railwayは調査が続く間、プラットフォーム全体でのすべてのデプロイを一時停止しました。この一時停止により、ビルドが復元されるまでユーザーはアプリケーションの新しいバージョンをロールアウトできなくなりますが、これは影響範囲を絞り込みながら環境を保護するための措置です。
Railwayは影響を受けた特定のアカウントを特定する作業を進めており、それらには直接連絡する予定ですが、このインシデントは開発者にとっての実践的な課題を浮き彫りにしました。デプロイが一時停止されているため、キーを直ちにローテートしたユーザーは、Railwayがビルドシステムを復元するまでサービスが機能しない可能性があります。さらに、一部のユーザーからは、開示が行われる前にすでに第三者によってキーが利用されていたとの報告もあります。Railwayは現在、ステータスページを通じてインシデントの状況とデプロイサービスの復元に関する最新情報を提供しています。