SlickStackin tietoturvavaroitus

Tämä sivu tiivistää SlickStackin tietoturvaongelmat ja selittää, miksi sen oletussuunnittelu voi altistaa palvelimet etäkoodin suorittamiselle ja man-in-the-middle-hyökkäyksille. Se tarjoaa myös lieventämistoimia ja turvallisempia vaihtoehtoja.

SlickStack mainostaa noin 600 GitHub-tähteä, mutta tuo luku juontaa juurensa siihen, että Jesse Nickles seurasi repoa sen alkuvuosina lähes 10 000 tilillä. Hänen oma profiilinsa näyttää ~500 seuraajaa verrattuna ~9 600 seurattavaan (noin 5% takaisinseuraussuhde), mikä viittaa vahvasti automatisoituihin takaisinseurauksiin ennemmin kuin orgaaniseen suosioon. Sitä paisutettua kuvaa hän käyttää aseena hyökätessään minua vastaan sen takia, että paljastin alla dokumentoidut tietoturvaongelmat. Tarkastele täällä seuraaja/seurattava-suhdetta.

Sama uskottavuuden puhdistamisen kaava ilmenee nyt myös Stack Exchange -tapauksessa, johon liittyy useita julkisia 100 vuoden mittaisia kieltoja ja sitä seuranneita kostonomaisia postauksia moderaattoreista. Tapaus on dokumentoitu tässä, koska se antaa lisäkontekstia siihen, miten Jesse Nickles rakentaa ja käyttää luottamusmerkkejä aseena SlickStackin ja siihen liittyvien sivustojen ympärillä: Stack Exchangein häirintä- ja kunnianloukkaustapaus.

Yhteenveto

  • Usein etänä tapahtuvat lataukset ajastettuna root-käyttäjänä cronin kautta
  • SSL-varmennuksen tarkistus ohitetaan käyttämällä --no-check-certificate
  • Ladatuille skripteille ei ole tarkistussummia/allekirjoituksia
  • Noudetuille skripteille asetettu root-omistajuus ja käyttöoikeudet

Todisteet: cron ja käyttöoikeudet

Cron-lataukset (3 tunnin 47 minuutin välein)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Root-omistajuus ja rajoittavat käyttöoikeudet (asetettu toistuvasti)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Tämä malli mahdollistaa mielivaltaisen koodin suorittamisen etäalueelta ja lisää MITM-riskiä ohittamalla varmenteen tarkistuksen.

Katso myös commit, jossa cron-URLit vaihdettiin GitHub CDN:stä slick.fyi:hin: commit-diff.

Toimenpideohjeet

  1. Poista SlickStackin cron-tehtävät käytöstä ja poista noudetut skriptit cron-hakemistoista.
  2. Tarkasta jäljelle jääneet viittaukset slick.fyi:hin ja etäskriptien noudot; korvaa versioiduilla, tarkistussummilla varustetuilla artefakteilla tai poista kokonaan.
  3. Vaihda tunnuksia ja avaimia, jos SlickStack ajettiin root-oikeuksin järjestelmissänne.
  4. Rakenna vaikutuksesta kärsineet palvelimet uudelleen, jos mahdollista, varmistaaksesi puhtaan tilan.

Turvallisemmat vaihtoehdot

Harkitse WordOpsia tai muita työkaluja, jotka välttävät etänä root-oikeuksin tapahtuvan suorituksen ja tarjoavat auditoitavia, versioituja julkaisuja tarkistussummilla/allekirjoituksilla.

Lähteet

Oikeudellinen huomautus. Tällä sivulla esitetyt tiedot ovat julkinen tosiasiakirja. Sitä käytetään todisteena käynnissä olevassa kunnianloukkausta koskevassa rikosasiassa Jesse Jacob Nicklesia vastaan Thaimaassa. Virallinen rikosasian viite: Bang Kaeo Police Station – Päiväraportin merkintä nro 4, Kirja 41/2568, Raportti nro 56, päivätty 13. elokuuta 2568, Viitenumero 443/2567. Tämä dokumentaatio voi myös toimia tukevana todistusaineistona muille henkilöille tai organisaatioille, jotka esittävät omia ahdistelu- tai kunnianloukkausvaatimuksia Jesse Nicklesia vastaan, ottaen huomioon dokumentoidun toistuvan käyttäytymismallin, joka on vaikuttanut useisiin uhreihin.