Tailscale rilascia la versione 1.104.4 per correggere le vulnerabilità SSH note come Tailworm

panoramic photography of tall concrete buildings — Pang Yuhao / Unsplash

Tailscale ha rilasciato la versione 1.104.4 per correggere quattro vulnerabilità, tra cui quelle presenti nel componente SSH che consentivano a un attaccante di espandere il proprio controllo all'interno della rete privata denominata tailnet.

La piattaforma Tailscale è un sistema di rete mesh definito via software che collega computer, telefoni, server e altri dispositivi in una rete privata unica. L'architettura si basa sul protocollo WireGuard per la crittografia e l'invio dei dati. Gli utenti installano l'applicazione su ciascun dispositivo e accedono con un account esistente, come Google o Microsoft, senza dover configurare router o firewall complessi. Le organizzazioni utilizzano questa soluzione per consentire a dipendenti e sistemi di accedere alle risorse interne in modo controllato, evitando di esporre i sistemi all'Internet pubblico.

Il componente SSH di Tailscale è un server integrato che utilizza l'identità dell'account Tailscale insieme a policy di accesso definite dagli amministratori. Queste policy determinano chi può connettersi a quale macchina e limitano l'accesso ai soli dispositivi interni alla tailnet. I ricercatori di Cyberdione Labs hanno pubblicato un rapporto denominato Tailworm, che raccoglie le vulnerabilità individuate in questo componente e in altre funzionalità della piattaforma.

L'attacco descritto nel rapporto richiede che l'aggressore ottenga prima il controllo di almeno un dispositivo autorizzato all'interno della rete. Successivamente, sfruttando le debolezze del componente SSH, è possibile assumere il controllo di altri server con privilegi di root. Tuttavia, questa azione è limitata alle macchine che il file di policy della rete consente di raggiungere. Inoltre, l'attaccante può rubare le chiavi utilizzate per registrare nuovi dispositivi, permettendo l'inserimento di macchine estranee che imitano dispositivi legittimi. I ricercatori hanno osservato che nei test di laboratorio l'accesso si propagava automaticamente da un dispositivo all'altro.

Tailscale non concorda con la definizione di worm per questo comportamento. Secondo l'analisi dell'azienda, l'attaccante può accedere solo alle macchine già autorizzate dalle policy per le connessioni SSH. Pertanto, la situazione va considerata come un movimento laterale limitato dai confini imposti dalle policy. Il rapporto segnala anche una vulnerabilità in Conn25, una funzionalità di connettore applicativo in fase pre-produzione. L'azienda ha dichiarato che correggerà questo problema prima del rilascio ufficiale. È stato inoltre identificato un problema di negazione del servizio che permetteva a chiunque su Internet di far fermare il server di controllo self-hosted o di impedire l'ingresso di nuovi dispositivi nella rete.

Tailscale ha corretto tutte e quattro le vulnerabilità come indicato nel bollettino di sicurezza, pubblicando il patch nella versione 1.104.4. Gli amministratori di sistema dovrebbero aggiornare a questa versione il prima possibile e rivedere le policy del componente SSH per limitare l'accesso solo agli utenti e ai dispositivi necessari. Per i sistemi di alta importanza, si consiglia di attivare la modalità di verifica di Tailscale SSH, che impone un'ulteriore autenticazione prima di consentire l'accesso alle macchine.