Railway'deki güvenlik ihlali, müşteri hesaplarında yaklaşık 740 bin dolarlık yetkisiz yapay zeka harcamasına yol açtı

Saldırganlar yaklaşık 100 bin çalışma alanındaki müşteri sırlarını çalarak bu harcamaları yaptı; Railway, sağlayıcıların iade etmediği ücretleri kendisinin karşılayacağını açıkladı.

Bulut barındırma platformu Railway, saldırganların yaklaşık 100 bin çalışma alanına kadar müşteri sırlarını ele geçirdiğini ve bu sırları kullanarak yaklaşık 740 bin dolarlık yetkisiz yapay zeka harcaması yaptığını açıkladı. Saldırgan, bilinmeyen bir derleme sistemi açığını yanlış yapılandırılmış bir bulut güven bağlantısıyla birleştirerek müşteri ortam değişkenlerine ulaştı. Railway'e göre bu değişkenler yalnızca sınırlı sayıda çalışma alanında çözülebildi; en fazla yüzde 1,85, yani yaklaşık 100 bin çalışma alanı etkilendi.

Şirket, sağlayıcıların iade etmeyeceği yapay zeka ücretlerini kendisinin karşılayacağını söyledi; iade koşulları ise sağlayıcıdan sağlayıcıya değişiyor. Bağlı hesap belirteçleri sızan 1.852 kullanıcının, GitHub OAuth belirteçleri dahil, belirteçleri sıfırlandı. Saldırı 20 Ekim'de derleme sistemindeki daha önce bilinmeyen bir açıkla başladı, 21 Ekim'de yanlış yapılandırılmış OIDC bağlantısı üzerinden bulut kimlik bilgilerine ulaşıldı. Railway, saldırganların 21 Ekim'de tamamen uzaklaştırıldığını ve kullanılan tüm açıkların giderildiğini belirtiyor. Müşteri Git depolarının indirildiğine ya da müşteri veritabanlarına erişildiğine dair bir kanıt bulunmadığı da aktarıldı.

Müşterilerin hassas ortam değişkenlerini yenilemeleri ve erişimlerini gözden geçirmeleri öneriliyor; çünkü yalnızca bir ücret itiraz dilekçesi vermek, ele geçirilmiş bir anahtarı iptal etmez.