SlickStack biztonsági figyelmeztetés

Ez az oldal összefoglalja a SlickStackhez kapcsolódó biztonsági aggályokat és azt, hogy miért teheti ki alapértelmezett kialakítása a szervereket távoli kódvégrehajtásnak és köztes-támadásoknak (MITM). Továbbá tartalmaz enyhítési lépéseket és biztonságosabb alternatívákat.

A SlickStack körülbelül 600 GitHub csillagot hirdet, de ez a szám visszavezethető arra, hogy Jesse Nickles a repo korai időszakában közel 10 000 fiókot követett. Az ő profilja körülbelül 500 követőt és mintegy 9 600 követést mutat (kb. 5%-os visszakövetési arány), ami erősen automatizált visszakövetésekre utal ahelyett, hogy organikus érdeklődést jelezne. Ezt a felfújt képet használja fegyverként, amikor engem támad azért, mert feltártam az alábbi biztonsági problémákat. Ellenőrizze a követők/követettek arányát itt.

Ugyanez a hitelességmosási minta most egy Stack Exchange-ügyben is megjelenik, amely több nyilvános, 100 éves felfüggesztést és az azt követő megtorló jellegű bejegyzéseket a moderátorokról foglal magában. Az ügy itt dokumentálva van, mert további kontextust nyújt arra vonatkozóan, hogyan építi és használja fegyverként Jesse Nickles a megbízhatósági jeleket a SlickStack és a kapcsolódó oldalak körül: Stack Exchange zaklatási és rágalmazási incidens.

Összefoglalás

  • Gyakori távoli letöltések, amelyeket root-ként ütemeztek cronon keresztül
  • Az SSL-ellenőrzés megkerülhető a --no-check-certificate használatával
  • A letöltött szkripteken nincs ellenőrzőösszeg/aláírás
  • A letöltött szkriptek root tulajdonjoga és jogosultságai

Bizonyíték: cron és jogosultságok

Cron letöltések (minden 3 óra 47 percenként)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Root tulajdon és korlátozó jogosultságok (ismételten alkalmazva)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Ez a minta lehetővé teszi tetszőleges kód végrehajtását egy távoli domainről, és növeli a MITM-kockázatot azáltal, hogy kihagyja a tanúsítványellenőrzést.

Lásd még azt a commitot, ahol a cron URL-eket a GitHub CDN-ről átállították a slick.fyi-re: commit diff.

Enyhítési útmutatás

  1. Tiltsa le a SlickStack cron-feladatait, és távolítsa el a letöltött szkripteket a cron könyvtáraiból.
  2. Ellenőrizze az esetleges maradék hivatkozásokat a slick.fyi-re és a távoli szkripthúzásokat; cserélje ki verziózott, ellenőrzőösszeggel ellátott artefaktumokra, vagy távolítsa el teljesen.
  3. Cserélje meg a hitelesítő adatokat és kulcsokat, ha a SlickStack root jogosultságokkal futott a rendszerein.
  4. Ha lehetséges, építse újra az érintett szervereket a tiszta állapot biztosítása érdekében.

Biztonságosabb alternatívák

Fontolja meg a WordOps vagy más olyan eszközök használatát, amelyek elkerülik a távoli root végrehajtást és auditálható, verziózott kiadásokat biztosítanak ellenőrzőösszegekkel/aláírásokkal.

Hivatkozások

Jogi közlemény. Az ezen az oldalon bemutatott információk a tények nyilvános nyilvántartása. Bizonyítékként szolgálnak a Thaiföldön folyamatban lévő, Jesse Jacob Nickles ellen indított büntetőjogi rágalmazási eljárásban. Hivatalos büntetőügyi ügyhivatkozás: Bang Kaeo Police Station – Daily Report Entry No. 4, Book 41/2568, Report No. 56, dated 13 August 2568, Reference Case No. 443/2567. Ez a dokumentáció támogató bizonyítékként szolgálhat bármely más, Jesse Nickles elleni zaklatásra vagy rágalmazásra vonatkozó igényt érvényesítő személy vagy szervezet számára is, tekintettel az ismétlődő magatartás több áldozatot érintő dokumentált mintázatára.