Pētniece publisko Tailscale SSH kļūdas, kas ļauj no vienas ierīces iegūt root piekļuvi

Uzņēmuma Cyberdione Labs drošības pētniece Erika Vindiša (Erica Windisch) nedēļas nogalē publiskoja ziņojumu ar nosaukumu „Tailworm”, kurā aprakstītas 11 kļūdas populārajā tīkla rīkā Tailscale un tā pašmitināmajā vadības serverī headscale. Nopietnākā no tām skar funkciju Tailscale SSH: ja uzbrucējs jau kontrolē vienu tīkla ierīci, kurai piekļuves noteikumi ļauj pieslēgties citam serverim, viņš šajā serverī var iegūt root jeb pilnas administratora tiesības.

Pēc pētnieces teiktā, problēmas cēlonis ir tas, ka Tailscale fona process tailscaled, kas darbojas ar root tiesībām, Unix ligzdu (socket) pāradresāciju SSH sesijās veic pats, nevis pieslēgušā lietotāja vārdā. Tādējādi pat parasts lietotāja konts var piekļūt sistēmas ligzdām, kas paredzētas tikai root, piemēram, Docker ligzdai. Laboratorijas testā šādi izdevās iegūt root tiesības un nolasīt sistēmas paroļu failu bez sudo vai Docker grupas tiesībām. Vēl viena kļūda ļauj apiet agrāk ieviestu ceļu pārbaudi, izmantojot sacensību stāvokli (race condition) starp pārbaudi un faila izmantošanu.

Kļūdas pārbaudītas Tailscale versijā 1.104.2 un headscale versijā 0.29.5 laboratorijas vidē no 22. līdz 24. oktobrim. Ziņojumā nav aprakstīti uzbrukumi reāliem tīkliem, un par šo kļūdu izmantošanu pagaidām nav ziņots. Uzbrukumam nepieciešama ne tikai jau uzlauzta ierīce tīklā, bet arī SSH noteikums, kas atļauj pāradresāciju. Tailscale mākoņpakalpojumā to nosaka katrs noteikums atsevišķi, bet headscale pāradresāciju piešķir automātiski bez iespējas to izslēgt.

Tailscale inženierijas viceprezidents Maiks Šeivers (Mike Shaver) vietnē Reddit apstiprināja, ka uzņēmums ziņojumu saņēmis un jau iepriekš kopā ar ārējiem drošības speciālistiem pētījis tās pašas jomas, atrodot problēmas, kuras tagad labo. Viņš uzsvēra, ka lielākā daļa atklāto kļūdu attiecas uz to, ko var izdarīt jau autorizēts lietotājs, nevis uz iespēju nepiederošam uzbrucējam pieslēgties jebkurai ierīcei. Uzņēmums pašlaik neiesaka visiem atslēgt Tailscale SSH un solīja publicēt drošības paziņojumu ar apstiprinātajām kļūdām, skartajām konfigurācijām un labojumiem.

Līdz šim Tailscale nav izdevis ne drošības biļetenu, ne CVE identifikatoru, ne laboto versiju. Tomēr uzņēmuma atvērtā koda repozitorijā jau apvienotas vairākas Tailscale SSH drošības izmaiņas, tostarp labojums vienai no tailscale serve kļūdām, un atvērts izmaiņu pieprasījums, kas pāradresāciju nodotu atsevišķam procesam. Pētnieki norāda, ka līdzīgu jomu jau skāra agrākais Tailscale biļetens TS-2026-004, kas tika novērsts versijā 1.98.9.

Kamēr labojums nav pieejams, Tailscale iesaka pārskatīt SSH piekļuves noteikumus, noņemt nevajadzīgas pāradresācijas atļaujas un ieslēgt automātiskos atjauninājumus. Pētniece savukārt iesaka atslēgt Tailscale SSH ierīcēs, kur tas nav vajadzīgs, un piekļuvi piešķirt tikai konkrētiem ierīču pāriem, nevis veselām lietotāju vai ierīču grupām. Headscale lietotājiem līdz labojumam katra SSH atļauja būtu jāuzskata par līdzvērtīgu root piekļuvei.