Исследователь сообщил об уязвимостях Tailscale SSH с повышением прав до root
По данным отчёта Cyberdione Labs, уже скомпрометированное устройство может получить root-доступ к доступным ему серверам в сети Tailscale. Компания изучает сообщения, но на момент публикации не выпустила исправление или бюллетень безопасности.
Исследовательница Erica Windisch из Cyberdione Labs опубликовала отчёт Tailworm, в котором описаны уязвимости Tailscale SSH. По её данным, атакующий, уже получивший контроль над одним устройством в сети, может использовать его для повышения привилегий до root на других серверах, к которым этому устройству разрешено подключаться.
Для атаки, согласно отчёту, нужны два условия: в правилах Tailscale SSH должна быть разрешена переадресация портов, а скомпрометированное устройство должно иметь доступ к целевому серверу по правилам сети. Пароли и SSH-ключи для дальнейшего продвижения не требуются: исходный доступ к одному из устройств злоумышленник должен получить отдельно — например, через уязвимое веб-приложение, фишинг или украденные учётные данные.
Windisch тестировала Tailscale 1.104.2 и headscale 0.29.5 в лабораторной среде в течение трёх дней. В одной из описанных цепочек обычная SSH-сессия с переадресацией портов заставляла процесс Tailscale, работающий с правами root, обратиться к системному сокету, доступ к которому должен быть только у root. В другом сценарии исследовательница получила ключ для подключения новых устройств к сети. Полностью завершить этот сценарий удалось только в сетях без Tailnet Lock; при включённой функции нужные секреты удалось перехватить при передаче, но не выполнить последний шаг.
Автор отчёта называет проблему потенциально «червеподобной»: в лаборатории одно скомпрометированное устройство могло последовательно получить привилегированный доступ к другим разрешённым устройствам менее чем за секунду на каждый шаг. Однако эти результаты не подтверждают наличие атак на реальные сети. Независимые исследователи публично не воспроизвели описанные методы, а доказательный код не опубликован и, по словам Windisch, был передан только контакту Tailscale по безопасности.
Вице-президент Tailscale по разработке Майк Шейвер сообщил на Reddit, что компания получила отчёт, ранее изучала те же области с внешними специалистами и обнаружила проблемы, над исправлением которых работает. Он добавил, что Tailscale ещё определяет, какие конфигурации затронуты, и пока не рекомендует всем пользователям отключать Tailscale SSH. На момент публикации компания не выпустила CVE, бюллетень безопасности или версию с исправлением.
Отдельно отчёт указывает на headscale 0.29.5 — самостоятельно разворачиваемый сервер, который используют вместо размещаемой Tailscale инфраструктуры. В этой версии, по данным Windisch, переадресацию портов отключить нельзя; поэтому каждое разрешение Tailscale SSH следует рассматривать как потенциально дающее root-доступ к целевой системе. Среди мер, ограничивающих распространение атаки в лабораторном тесте, названы правила доступа с отдельными парами «источник — назначение» и ключи устройств, привязанные к аппаратным модулям вроде TPM или Secure Enclave.