Railway-ը հայտնել է գաղտնագրված միջավայրի փոփոխականներին հնարավոր չլիազորված մուտքի մասին

Միջադեպի ակնարկ

2026 թվականի հոկտեմբերի 21-ին Railway-ը հայտարարեց, որ անոմալ ակտիվություն է հայտնաբերել հաճախորդների միջավայրի փոփոխականները պահող համակարգերում։ Հետաքննությունը ցույց տվեց, որ չլիազորված երրորդ կողմը հնարավոր է մուտք է գործել գաղտնագրված միջավայրի փոփոխականներ և դրանցից մի քանիսի համար ստացել է գաղտնազերծված պարունակությունը։

Միջավայրի փոփոխականները կարող են պարունակել գաղտնիքներ, ինչպիսիք են API բանալիները, տվյալների բազայի և ռեգիստրի հավատարմագրերը։ Railway-ը կարծում է, որ սա հարձակումների շարքի մաս է, որոնք վերջերս ուղղված են եղել պլատֆորմային ընկերություններին՝ AI ինֆերենսի մատակարարներին վնասելու նպատակով։

Առաջարկվող գործողություններ

Ընկերությունը խորհուրդ է տալիս բոլոր օգտատերերին անմիջապես փոխել Railway-ում պահվող բոլոր միջավայրի փոփոխականները, ներառյալ API բանալիները և մասնավոր ռեգիստրի հավատարմագրերը։ Օգտատերերը նաև պետք է ստուգեն այդ ծառայությունների մատյանները՝ ցանկացած անսովոր ակտիվություն հայտնաբերելու համար։

Բոլոր տեղակայումները դադարեցված են, քանի դեռ հետաքննությունը շարունակվում է։ Քանի դեռ կառուցումները չեն վերականգնվել, օգտատերերը չեն կարող նոր տարբերակներ տեղակայել։ Railway-ը ներողություն խնդրեց անհարմարության համար և օգտատերերին խնդրեց հետևել միջադեպի էջին՝ կառուցումների վերականգնման մասին ծանուցումներ ստանալու համար։

Ընթացիկ հետաքննություն և թարմացումներ

Railway-ը տեղեկացրել է վերին հոսքի մատակարարներին՝ բոլոր բանալիները նախաձեռնողականորեն չեղարկելու խնդրանքով։ Ազդեցության շրջանակի ճշգրտմանը զուգընթաց ընկերությունը ուղղակիորեն կկապվի տուժած հաճախորդների հետ էլեկտրոնային փոստով՝ տրամադրելով լրացուցիչ մանրամասներ։

Թարմացումները կհրապարակվեն հայտարարությունների էջում և status.railway.com-ում։ 2026 թվականի հոկտեմբերի 22-ին Railway-ը հրապարակեց ինժեներական ուղեցույցներ անոմալ GCP հասանելիության և անոմալ AWS հասանելիության ստուգման վերաբերյալ։

Աղբյուրներ: Railway Blog