I segreti di Railway aprono la strada ai servizi collegati
Railway ha comunicato che una parte dei clienti potrebbe aver subito l’accesso non autorizzato alle variabili d’ambiente, in alcuni casi decifrate; non ha precisato quanti account siano coinvolti. La ricercatrice Taylor Monahan riferisce che l’incidente è stato seguito dal furto di criptovalute da wallet le cui chiavi private erano conservate sulla piattaforma.
Queste variabili contengono spesso le chiavi con cui un’app accede a database, API o wallet. Chi ne ottiene i valori può usarli direttamente sui servizi collegati: invalidare i token di Railway non annulla le credenziali copiate né gli accessi già effettuati. Railway ha ripristinato le build per gli spazi Pro ed Enterprise, ma alcuni rilasci restano in coda o falliscono.
Il perimetro dell’esposizione segue ogni segreto fino al servizio che apre. Lo stesso rischio riguarda le credenziali conservate su altre piattaforme cloud di deployment: la compromissione può propagarsi oltre l’account che le ospita.
Developer platform Railway urges 'all users' to revoke secret keys after cyberattack | TechCrunch
The vibe-coding platform said all of its customers should revoke and rotate their private keys, after hackers were able to decrypt some customer secrets.