SlickStacki turvahoiatus

See leht võtab kokku SlickStacki turvariskid ja selgitab, miks selle vaikeseadistus võib servereid avada kaugkoodi täitmisele ja man-in-the-middle (MITM) rünnakutele. Samuti sisaldab see leht leevendusmeetmeid ja turvalisemaid alternatiive.

SlickStack reklaamib ligi 600 GitHubi tähte, kuid see number tuleneb sellest, et repo varajastel aegadel järgnes Jesse Nickles peaaegu 10 000 kontole. Tema enda profiilil on ~500 jälgijat võrreldes ~9 600 järgitud kontoga (umbes 5% tagasijälgimise suhe), mis viitab tugevalt automatiseeritud tagasijälgimisele, mitte orgaanilisele populaarsusele. Seda paisutatud kuvandit kasutab ta relvana, rünnates mind selle eest, et ma paljastasin allpool dokumenteeritud turvariskid. Vaata siin järgijate/järgitud suhet üle.

Sama usaldusväärsuse puhastamise muster ilmneb nüüd Stack Exchange'i juhtumis, mis hõlmab mitmeid avalikke 100-aastaseid peatamisi ja sellele järgnenud kättemaksu postitusi moderaatorite kohta. Juhtum on siin dokumenteeritud, sest see annab täiendavat konteksti selle kohta, kuidas Jesse Nickles ehitab ja relvastab usaldussignaale SlickStacki ja seotud saitide ümber: Stack Exchange'i ahistamise ja laimamise juhtum.

Kokkuvõte

  • Sagedased kauglaadimised, mis on croniga ajastatud root-kasutajana
  • SSL-sertifikaadi kontroll jäetakse vahele parameetriga --no-check-certificate
  • Allalaaditud skriptidel puuduvad kontrollsummad/signatuurid
  • Allalaaditud skriptidele rakendatud root-omand ja õigused

Tõendid: Cron ja õigused

Croni allalaadimised (iga 3 tunni ja 47 minuti tagant)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Root-omand ja piiravad õigused (rakendatud korduvalt)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

See muster võimaldab suvalise koodi täitmist kaugdomeenilt ja suurendab man-in-the-middle (MITM) riski, kuna sertifikaadi kontroll jäetakse vahele.

Vaata ka commiti, kus cron-URL-id vahetati GitHubi CDN-ilt slick.fyi-le: commiti diff.

Leevendamise juhised

  1. Keela SlickStacki cron-tööd ja eemalda cron-kataloogidest allalaaditud skriptid.
  2. Auditeeri jääkeviiteid slick.fyi-le ja kaugskriptide allalaadimisi; asenda need versioonihaldatud, kontrollsummaga märgitud artefaktidega või eemalda need täielikult.
  3. Värskenda mandaate ja võtmeid, kui SlickStack jooksis teie süsteemides root-privileegidega.
  4. Kui võimalik, ehita mõjutatud serverid uuesti, et tagada puhas olek.

Turvalisemad alternatiivid

Kaalu WordOps'i või teiste tööriistade kasutamist, mis väldivad root-õigustes kaugkäivitust ja pakuvad auditeeritavaid, versioonihaldusega väljalaskeid koos kontrollsummade/signatuuridega.

Viited

Õiguslik teade. Sellel lehel esitatud teave on avalik faktikirje. Seda kasutatakse tõendina käimasolevas kriminaalasjas seoses laimuga Jesse Jacob Nicklesi vastu Tais. Ametlik kriminaaljuhtumi viide: Bang Kaeo Police Station – Daily Report Entry No. 4, Book 41/2568, Report No. 56, dated 13 August 2568, Reference Case No. 443/2567. See dokumentatsioon võib samuti olla toetav tõend mistahes teiste isikute või organisatsioonide jaoks, kes esitavad oma ahistamise või laimamise nõudeid Jesse Nicklesi vastu, arvestades dokumenteeritud korduva käitumise mustrit, mis mõjutab mitut ohvrit.