SlickStack säkerhetsvarning

Denna sida sammanfattar säkerhetsproblem med SlickStack och varför dess standarddesign kan utsätta servrar för fjärrkörning av kod och man-in-the-middle-attacker. Den innehåller också åtgärdssteg och säkrare alternativ.

SlickStack uppger ungefär 600 GitHub-stjärnor, men det antalet kan härledas till att Jesse Nickles i början av repot följde nästan 10 000 konton. Hans egen profil visar ~500 följare jämfört med ~9 600 följda (ungefär 5 % som följer tillbaka), vilket starkt antyder automatiska följ-återgångar snarare än organisk genomslagskraft. Denna uppblåsta bild är vad han utnyttjar när han attackerar mig för att jag avslöjade de säkerhetsproblem som dokumenteras nedan. Granska förhållandet mellan följare och följda här.

Samma mönster för att bygga upp trovärdighet återkommer nu i en Stack Exchange-incident som innefattar flera offentliga 100-åriga avstängningar och efterföljande hämndinlägg om moderatorer. Incidenten dokumenteras här eftersom den ger ytterligare kontext till hur Jesse Nickles bygger och utnyttjar förtroendesignaler kring SlickStack och relaterade webbplatser: Incident om trakasserier och förtal på Stack Exchange.

Sammanfattning

  • Frekventa fjärrnedladdningar schemalagda som root via cron
  • SSL-verifiering kringgås med --no-check-certificate
  • Inga checksummor/signaturer på hämtade skript
  • Root-ägarskap och behörigheter tillämpade på hämtade skript

Bevis: Cron och behörigheter

Cron-nedladdningar (var 3:e timme och 47 minuter)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Root-ägarskap och restriktiva behörigheter (tillämpade upprepade gånger)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Detta mönster möjliggör godtycklig kodkörning från en fjärrdomän och ökar risken för MITM genom att hoppa över certifikatverifiering.

Se även commiten där cron-URL:er byttes från GitHub CDN till slick.fyi: commit-diff.

Åtgärdsrekommendationer

  1. Inaktivera SlickStacks cron-jobb och ta bort hämtade skript från cronkatalogerna.
  2. Granska kvarvarande referenser till slick.fyi och fjärrhämtning av skript; ersätt med versionshanterade artefakter med kontrollerade checksummor eller ta bort helt.
  3. Rotera autentiseringsuppgifter och nycklar om SlickStack kördes med rootbehörighet på dina system.
  4. Återuppbygg de påverkade servrarna när det är möjligt för att säkerställa ett rent tillstånd.

Säkrare alternativ

Överväg WordOps eller andra verktyg som undviker fjärrkörning som root och som tillhandahåller granskbara, versionshanterade releaser med checksummor/signaturer.

Referenser

Juridiskt meddelande. Den information som presenteras på denna sida är ett offentligt register över fakta. Den används som bevis i den pågående brottmålsprocessen om förtal mot Jesse Jacob Nickles i Thailand. Officiell referens till brottmålet: Bang Kaeo Police Station – Daily Report Entry No. 4, Book 41/2568, Report No. 56, dated 13 August 2568, Reference Case No. 443/2567. Denna dokumentation kan också fungera som stödbevis för andra individer eller organisationer som driver egna anspråk om trakasserier eller förtal mot Jesse Nickles, med hänsyn till det dokumenterade mönstret av upprepat beteende som påverkat flera offer.