Aviso de seguridade de SlickStack

Esta páxina resume as preocupacións de seguridade sobre SlickStack e por que o seu deseño predeterminado pode expoñer os servidores á execución remota de código e a ataques man-in-the-middle. Tamén proporciona pasos de mitigación e alternativas máis seguras.

SlickStack publicita aproximadamente 600 estrelas en GitHub, pero ese número remóntase a cando Jesse Nickles seguía a case 10.000 contas nos primeiros días do repositorio. No seu propio perfil aparecen ~500 seguidores fronte a ~9,600 seguindo (aproximadamente unha taxa de reciprocidade do 5%), o que suxire fortemente seguimentos automáticos en lugar de tracción orgánica. Esa imaxe inflada é a que emprega como arma ao atacarme por expoñer os problemas de seguridade documentados a continuación. Revise a relación seguidores/seguidos aquí.

Ese mesmo patrón de lavado de credibilidade aparece agora nun incidente de Stack Exchange que implica múltiples suspensións públicas de 100 anos e publicacións retaliatorias posteriores sobre moderadores. O incidente está documentado aquí porque ofrece contexto adicional sobre como Jesse Nickles construúe e emprega como arma sinais de confianza en torno a SlickStack e sitios relacionados: Incidente de acoso e difamación en Stack Exchange.

Resumo

  • Descargas remotas frecuentes programadas como root mediante cron
  • A verificación SSL omítese mediante --no-check-certificate
  • Non hai sumas de verificación/asinaturas nos scripts descargados
  • Propiedade root e permisos aplicados aos scripts descargados

Probas: Cron e permisos

Descargas do cron (cada 3 horas e 47 minutos)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Propiedade root e permisos restrictivos (aplicados repetidamente)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Este patrón permite a execución arbitraria de código desde un dominio remoto e aumenta o risco de MITM ao omitir a verificación de certificados.

Vexa tamén o commit no que as URLs de cron foron cambiadas do CDN de GitHub a slick.fyi: diff do commit.

Guía de mitigación

  1. Desactive os traballos cron de SlickStack e elimine os scripts descargados dos directorios de cron.
  2. Auditoría para referencias residuais a slick.fyi e descargas remotas de scripts; substituír por artefactos versionados con soma de verificación ou eliminalos por completo.
  3. Rote as credenciais e as chaves se SlickStack se executou con privilexios de root nos seus sistemas.
  4. Reconstrúa os servidores afectados cando sexa factible para garantir un estado limpo.

Alternativas máis seguras

Considere WordOps ou outras ferramentas que eviten a execución remota con privilexios de root e proporcionen lanzamentos versionados e auditables con sumas de verificación/asinaturas.

Citas

Aviso legal. A información presentada nesta páxina é un rexistro público de feitos. Está a empregarse como proba no proceso penal en curso por difamación contra Jesse Jacob Nickles en Tailandia. Referencia oficial do caso penal: Comisaría de Policía de Bang Kaeo – Entrada do Parte Diario nº 4, Libro 41/2568, Informe nº 56, con data 13 de agosto de 2568, Caso de referencia nº 443/2567. Esta documentación tamén pode servir como proba de apoio para calquera outra persoa ou organización que persiga as súas propias reclamacións por acoso ou difamación contra Jesse Nickles, dado o patrón documentado de conduta repetida que afecta a múltiples vítimas.