Appwrite 运行时遭利用泄露内部凭据，1,022 个项目需轮换密钥

Appwrite 的 11 月 4 日披露将针对特定客户的入侵与平台攻击分开。10 月 30 日至 31 日的初始访问来自该客户自己的应用。11 月 1 日，攻击者在自己的 Appwrite 项目部署代码，利用不安全的运行时文件处理读取内部服务凭据。Appwrite 确认三个凭据遭实际使用，包括读取一名客户的函数代码及日志、执行函数，并修改代码 31 秒后还原。平台已遭实际利用，因此评为 L4；报告不能证明每个获通知项目的秘密均被窃取。

另一个访问令牌在 11 月 1 日 03:53 至 14:46 UTC 可读取法兰克福计算节点上的 Function 和 Site 配置及秘密凭据。法兰克福也承载部分主要区域位于其他地方的项目 Site。Appwrite 正通知符合运行、变量设置时间及秘密名称条件的 1,022 个项目所有者。这不意味着 1,022 家独立组织或确认密钥被盗。厂商未发现环境变量读取证据，但服务商审计日志不完整且无法恢复；替代的配置、工作负载及交互会话记录无法揭示读取行为。客户仍须预防性轮换受影响密钥。

同一会话中，另一个独立的存储 API 漏洞允许写入攻击者项目存储范围之外。Appwrite 报告通过该漏洞只写入了攻击者自己的测试文件，现已删除，并称服务商日志没有其他客户文件被读取的记录。一次未授权内容分发配置修改从未生效。不能将这些发现扩大为已确认的普遍存储泄露。

Appwrite 称 Cloud 事件已受遏制：攻击者访问被封禁，暴露的服务凭据已替换且旧值被拒绝，根因已修复。公司报告已拒绝植入链接及非普通运行时／构建文件、增加容器安全配置、将非特权客户工作负载与平台服务隔离、拆分共享凭据，并替换签名及加密密钥。已存储数据的重新加密仍在进行。这些措施不会自动轮换客户的第三方密钥。

自托管版 2.7.1 将 Open Runtimes executor 从 1.1.2 升至 1.3.1。版本说明描述执行／构建日志、输出或缓存中的符号链接，以及未经检查的运行时日志 ID，可导致读取 executor 容器文件及环境中的 _APP_EXECUTOR_SECRET。该密钥允许直接调用 executor API，而 executor 控制宿主机 Docker。所述前提是允许不可信方部署 Function 或 Site。厂商要求升级，并在适用时随后轮换密钥；并未声称自托管客户也遭到本次 Cloud 攻击。这些来源未指定 CVE 或完整的旧分支支持矩阵。