هشدار امنیتی SlickStack

خلاصه

• بارگیری‌های مکرر از راه دور که با دسترسی root از طریق cron زمان‌بندی شده‌اند
• تأیید SSL با استفاده از --no-check-certificate دور زده می‌شود
• عدم وجود checksum/امضا روی اسکریپت‌های دانلودشده
• مالکیت root و مجوزهایی که روی اسکریپت‌های دریافت‌شده اعمال شده‌اند

شواهد: cron و مجوزها

بارگیری‌های cron (هر ۳ ساعت و ۴۷ دقیقه)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

مالکیت root و مجوزهای محدودکننده (که مکرراً اعمال شده‌اند)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

این الگو امکان اجرای دلخواه کد از یک دامنهٔ راه دور را فراهم می‌کند و با رد کردن تأیید گواهی‌نامه، ریسک حملات مرد میانی (MITM) را افزایش می‌دهد.

همچنین به commit‌ای که در آن آدرس‌های cron از GitHub CDN به slick.fyi تغییر داده شدند مراجعه کنید: تفاوت commit.

راهنمای کاهش ریسک

1. فعالیت‌های cron مربوط به SlickStack را غیرفعال کنید و اسکریپت‌های دریافت‌شده را از دایرکتوری‌های cron حذف کنید.
2. بررسی وجود ارجاعات باقی‌مانده به slick.fyi و بارگیری‌های اسکریپت از راه دور؛ آنها را با آرشیوهای نسخه‌دار و دارای مقدار بررسی (checksums) جایگزین کنید یا کاملاً حذف نمایید.
3. اگر SlickStack با امتیازات root روی سیستم‌های شما اجرا شده است، مدارک (credentials) و کلیدها را تعویض کنید.
4. در صورت امکان، سرورهای متأثر را بازسازی کنید تا وضعیت پاک تضمین شود.

گزینه‌های امن‌تر

از WordOps یا ابزارهای دیگر که از اجرای راه‌دور با دسترسی root جلوگیری می‌کنند و انتشارهای نسخه‌دار و قابل حسابرسی با checksum/امضا ارائه می‌دهند، استفاده کنید.

ارجاعات

• YouTube — Security review video
• X post 1
• X post 2
• GitHub — cron URLs changed to slick.fyi (commit diff)