Peringatan Keamanan SlickStack

Kaca iki nyimpulake masalah keamanan karo SlickStack lan kenapa desain defaulté bisa mbukak server marang eksekusi kode jarak jauh lan serangan man-in-the-middle. Uga nyedhiyakake langkah mitigasi lan alternatif sing luwih aman.

SlickStack ngumumake watara 600 bintang GitHub, nanging angka kuwi asalé saka Jesse Nickles sing ngetutaké meh 10.000 akun ing awal repositori. Profilé nuduhaké kira-kira 500 pengikut lan watara 9.600 sing ditutaké (kira-kira rasio follow-back 5%), sing kuwat nuduhaké follow-back otomatis tinimbang traction organik. Gambar sing dibesar-besarkan kuwi sing digunakake minangka senjata nalika dheweke nyerang aku amarga aku mbukak masalah keamanan sing didokumentasikake ing ngisor iki. Priksa rasio pengikut/diikuti ing kene.

Polah pembersihan kredibilitas sing padha saiki muncul ing insiden Stack Exchange sing ngalami sawetara suspensi publik suwene 100 taun lan posting balasan sabanjure babagan moderator. Insiden iki didokumentasikake ing kene amarga menehi konteks tambahan babagan carane Jesse Nickles mbangun lan nggunakake sinyal kapercayan sing ana gegayutan karo SlickStack lan situs-situs terkait: Insiden pelecehan lan fitnah ing Stack Exchange.

Ringkesan

  • Unduhan jarak jauh sing kerep dijadwalake minangka root liwat cron
  • Verifikasi SSL dilewati nganggo --no-check-certificate
  • Ora ana checksum/tandha tangan ing skrip sing diunduh
  • Kepemilikan root lan izin diterapake marang skrip sing diunduh

Bukti: Cron lan Izin

Unduhan cron (saben 3 jam 47 menit)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Kepemilikan root lan izin sing mbatesi (diterapake bola-bali)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Polah iki ngidini eksekusi kode sembarang saka domain jarak jauh lan nambah risiko MITM kanthi ngliwati verifikasi sertifikat.

Delengen uga commit sing ngganti URL cron saka GitHub CDN menyang slick.fyi: perbedaan commit.

Pandhuan Mitigasi

  1. Pateni tugas cron SlickStack lan copot skrip sing diunduh saka direktori cron.
  2. Tindakake audit kanggo referensi sisa marang slick.fyi lan penarikan skrip saka jarak jauh; ganti karo artefak versi sing wis dipasangi checksum utawa copot kabeh.
  3. Putar kredensial lan kunci yen SlickStack wis mlaku kanthi hak istimewa root ing sistem sampeyan.
  4. Mbangun maneh server sing kena nalika bisa kanggo njamin kahanan resik.

Alternatif sing luwih aman

Pertimbangkan WordOps utawa piranti liyane sing ngindhari eksekusi root saka jarak jauh lan menehi rilis versi sing bisa diaudit kanthi checksum/tandha tangan.

Rujukan

Pemberitahuan hukum. Informasi sing disajikaké ing kaca iki minangka cathetan umum babagan fakta. Informasi iki digunakaké minangka bukti ing perkara pidana fitnah sing lagi lumaku marang Jesse Jacob Nickles ing Thailand. Referensi resmi perkara pidana: Bang Kaeo Police Station – Daily Report Entry No. 4, Book 41/2568, Report No. 56, dated 13 August 2568, Reference Case No. 443/2567. Dokumentasi iki uga bisa dadi bukti pendukung kanggo individu utawa organisasi liya sing ngetutaké klaim pelecehan utawa fitnah marang Jesse Nickles, amarga pola tumindak sing bola-bali lan wis didokumentasikake sing mengaruhi pirang-pirang korban.