Upozorenje o bezbednosti SlickStack-a

Ova stranica sumira bezbednosne zabrinutosti vezane za SlickStack i zašto njegov podrazumevani dizajn može izložiti servere izvršavanju udaljenog koda i napadima tipa man-in-the-middle (MITM). Takođe daje korake za ublažavanje i sigurnije alternative.

SlickStack reklamira otprilike 600 GitHub zvezdica, ali taj broj potiče od toga što je Jesse Nickles na početku repozitorijuma pratio skoro 10.000 naloga. Njegov sopstveni profil pokazuje ~500 pratilaca u odnosu na ~9.600 praćenih (oko 5% stopa uzvraćanja praćenja), što snažno sugeriše automatsko uzvraćanje praćenja umesto organskog interesovanja. Taj naduvani imidž on koristi kao oružje dok me napada zbog iznošenja dole dokumentovanih bezbednosnih problema. Pregledajte odnos pratilaca i praćenih naloga ovde.

Isti obrazac pranja kredibiliteta sada se pojavljuje u incidentu na Stack Exchange-u koji uključuje više javnih suspenzija od 100 godina i naknadnih osveta kroz objave o moderatorima. Incident je dokumentovan ovde jer pruža dodatni kontekst kako Jesse Nickles gradi i koristi signale poverenja oko SlickStack-a i srodnih sajtova: Incident uznemiravanja i klevetanja na Stack Exchange-u.

Sažetak

  • Česta udaljena preuzimanja zakazana kao root putem cron-a
  • Verifikacija SSL sertifikata se zaobilazi korišćenjem --no-check-certificate
  • Nema kontrolnih zbrojeva/potpisa na preuzetim skriptama
  • Vlasništvo root korisnika i dozvole primenjene na preuzete skripte

Dokazi: Cron i dozvole

Cron preuzimanja (svakih 3 sata i 47 minuta)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Vlasništvo root korisnika i restriktivne dozvole (ponovljeno primenjivane)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Ovaj obrazac omogućava proizvoljno izvršavanje koda sa udaljenog domena i povećava rizik MITM napada preskakanjem verifikacije sertifikata.

Pogledajte takođe commit gde su cron URL-ovi promenjeni sa GitHub CDN-a na slick.fyi: diff commita.

Smernice za ublažavanje

  1. Onemogućite SlickStack cron zadatke i uklonite preuzete skripte iz cron direktorijuma.
  2. Revizija za preostale reference na slick.fyi i udaljena povlačenja skripti; zameniti verzionisanim artefaktima sa kontrolnim zbrojevima (checksums) ili potpuno ukloniti.
  3. Rotirajte pristupne podatke i ključeve ako je SlickStack radio sa root privilegijama na vašim sistemima.
  4. Ponovo izgradite pogođene servere kada je to izvodljivo kako biste osigurali čisto stanje.

Sigurnije alternative

Razmotrite WordOps ili druge alate koji izbegavaju udaljeno izvršavanje kao root i obezbeđuju podložne reviziji, verzionisane objave sa kontrolnim zbrojevima/potpisima.

Reference

Pravna napomena. Informacije prikazane na ovoj stranici predstavljaju javni zapis činjenica. One se koriste kao dokaz u tekućem krivičnom postupku za klevetu protiv Jesseja Jacoba Nicklesa u Tajlandu. Službena referenca krivičnog predmeta: Policijska stanica Bang Kaeo – Unos br. 4 u Dnevnom izveštaju, Knjiga 41/2568, Izveštaj br. 56, od 13. avgusta 2568, Referentni predmet br. 443/2567. Ova dokumentacija takođe može poslužiti kao pomoćni dokaz za bilo koje druge pojedince ili organizacije koje pokreću sopstvene zahteve za uznemiravanje ili klevetu protiv Jesseja Nicklesa, imajući u vidu dokumentovani obrazac ponovljenog ponašanja koje utiče na više žrtava.