Railway Layankan Peringatan Darurat: Pengembang Diminta Rotasi Rahasia Akibat Potensi Pembobolan Variabel Lingkungan
Penyedia layanan cloud hosting Railway menerbitkan peringatan darurat bagi para penggunanya setelah mendeteksi adanya aktivitas mencurigakan pada sistem mereka yang menyimpan variabel lingkungan (environment variables) pelanggan awal pekan ini.
Berdasarkan hasil investigasi sementara, pihak perusahaan mengindikasikan bahwa dalam beberapa kasus, pihak ketiga yang tidak berwenang berpotensi telah mengakses serta memperoleh isi dekripsi dari variabel-variabel tersebut.
“Investigasi kami hingga saat ini mengindikasikan bahwa pihak ketiga yang tidak berwenang mungkin telah mengakses variabel lingkungan yang dienkripsi dan, untuk beberapa di antaranya, memperoleh isi yang telah didekripsi,” tulis pihak Railway dalam pernyataan resminya. “Variabel lingkungan dapat berisi rahasia seperti kunci API atau kredensial basis data dan registry.”
Railway merupakan platform cloud populer bagi para pengembang untuk menggelar (deploy) dan menjalankan aplikasi, API, basis data, serta berbagai layanan backend. Platform ini tercatat memiliki sekitar 4,8 juta pengguna dan menampung lebih dari 16 juta layanan. Mengingat fungsinya yang menyimpan konfigurasi terkait deployment dan kredensial sensitif dalam variabel lingkungan, insiden ini menimbulkan risiko keamanan yang signifikan bagi para penggunanya.
Target Penyedia Layanan AI dan Langkah Pemulihan Platform
Lebih lanjut, Railway mengungkapkan bahwa insiden pembobolan ini merupakan bagian dari rangkaian serangan terarah yang menyasar para penyedia inferensi AI (AI inference providers). Pihak-pihak terkait yang terdampak telah diberitahu secara langsung dan diimbau untuk segera mencabut (revoke) seluruh kunci akses mereka sebagai langkah pencegahan.
Meskipun analisis awal menunjukkan bahwa hanya sebagian kecil pengguna yang mungkin terdampak secara langsung, Railway tetap mendesak seluruh pengguna untuk secara proaktif melakukan rotasi (rotate) pada variabel lingkungan dan rahasia yang disimpan di platform tersebut—termasuk kredensial registry privat—serta memeriksa log layanan terkait untuk mendeteksi aktivitas yang tidak biasa.
Sebagai langkah mitigasi darurat selama investigasi berlangsung, Railway sempat menjeda seluruh proses deployment sehingga pengguna tidak dapat meluncurkan versi baru aplikasi mereka. Berdasarkan pembaruan status halaman (status page) per 22 Oktober pukul 08:44 UTC, layanan pembangunan (builds) untuk ruang kerja Pro dan Enterprise telah dipulihkan meskipun antrean deployment masih mengalami penundaan. Sementara itu, pemulihan layanan untuk ruang kerja tingkat Hobby, Free, and Trial dijadwalkan menyusul secara bertahap.
Railway berjanji akan segera mengirimkan pemberitahuan langsung kepada para pengguna yang akunnya telah dikonfirmasi mengalami kompromi guna memberikan rincian investigasi lebih lanjut.
Sumber: Railway Security Advisory
