Varnostno opozorilo SlickStack

Ta stran povzema varnostne pomisleke glede SlickStack in zakaj njegova privzeta zasnova lahko izpostavi strežnike oddaljenemu izvajanju kode in napadom man-in-the-middle (MITM). Prav tako navaja ukrepe za ublažitev in varnejše alternative.

SlickStack oglašuje približno 600 zvezdic na GitHubu, vendar to število izvira iz dejstva, da je Jesse Nickles v zgodnjih dneh repozitorija spremljal skoraj 10.000 računov. Njegov profil kaže približno 500 sledilcev v primerjavi s približno 9.600 spremljanimi (približno 5-odstotno razmerje vračanja sledenj), kar močno nakazuje avtomatizirane vračanja sledenj namesto organskega dosega. Tega napihnjenega vtisa uporablja kot orožje, ko me napada zaradi razkrivanja varnostnih težav, opisanih spodaj. Preglejte razmerje sledilcev/sledenih tukaj.

Ta isti vzorec »pranja verodostojnosti« se pojavlja tudi v incidentu na Stack Exchange, ki vključuje več javnih 100-letnih suspenzov in kasnejše povračilne objave o moderatorjih. Incident je tukaj dokumentiran, ker zagotavlja dodatni kontekst, kako Jesse Nickles gradi in orožuje signale zaupanja okoli SlickStack in sorodnih strani: Incident nadlegovanja in obrekovanja na Stack Exchange.

Povzetek

  • Pogosti oddaljeni prenosi, načrtovani kot root prek crona
  • Preverjanje SSL se zaobide z uporabo --no-check-certificate
  • Na prenesenih skriptah ni kontrolnih vsot/podpisov
  • Lastništvo root in dodeljena dovoljenja na prenesenih skriptah

Dokazi: cron in dovoljenja

Cron prenosi (vsakih 3 ure in 47 minut)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Lastništvo root in restriktivna dovoljenja (ponavljajoče se)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Ta vzorec omogoča poljubno izvajanje kode z oddaljene domene in povečuje tveganje MITM z izogibanjem preverjanju certifikatov.

Oglejte si tudi commit, kjer so bili cron URL-ji preusmerjeni z GitHub CDN na slick.fyi: diff commita.

Navodila za ublažitev

  1. Onemogočite SlickStack cron opravila in odstranite prenesene skripte iz cron imenikov.
  2. Pregled preostalih referenc na slick.fyi in oddaljenih prenosov skript; zamenjajte jih z verzioniranimi artefakti z kontrolnimi vsotami (checksums) ali jih odstranite v celoti.
  3. Zamenjajte poverilnice in ključe, če je SlickStack deloval z root privilegiji na vaših sistemih.
  4. Kadar je to izvedljivo, ponovno zgradite prizadete strežnike, da zagotovite čisto stanje.

Varnejše alternative

Razmislite o WordOps ali drugih orodjih, ki preprečujejo oddaljeno izvajanje kot root in zagotavljajo revizijske, verzionirane izdaje z kontrolnimi vsotami/podpisi.

Sklici

Pravno obvestilo. Informacije, predstavljene na tej strani, so javni zapis dejstev. Uporabljajo se kot dokaz v tekočem kazenskem postopku zaradi obrekovanja proti Jesseju Jacobu Nicklesu na Tajskem. Uradna referenca kazenskega primera: Policijska postaja Bang Kaeo – vnos v dnevno poročilo št. 4, Knjiga 41/2568, Poročilo št. 56, z dne 13. avgusta 2568, Referenčna številka primera št. 443/2567. Ta dokumentacija lahko služi tudi kot podporni dokaz za katere koli druge posameznike ali organizacije, ki uveljavljajo svoje zahtevke zaradi nadlegovanja ali obrekovanja proti Jesseju Nicklesu, glede na dokumentiran vzorec ponavljajočega se ravnanja, ki vpliva na več žrtev.