Tailscale wydaje aktualizację usuwającą luki Tailworm w usłudze Tailscale SSH

black and brown bridge bridge — Alejandro Luengo / Unsplash

Firma Tailscale udostępniła wersję v1.104.4 swojego oprogramowania, która naprawia cztery luki w zabezpieczeniach, w tym błędy w usłudze Tailscale SSH opisane w raporcie Tailworm.

Luki w Tailscale SSH mogą pozwolić napastnikowi, który przejął już jedno urządzenie w sieci tailnet, na podniesienie uprawnień i przejęcie kontroli nad innymi maszynami w tej samej sieci. Atakujący może uzyskać dostęp do serwerów z uprawnieniami poziomu root, jednak jest to ograniczone do urządzeń, na które pozwala plik polityki sieci tailnet. Raport wskazuje również na możliwość kradzieży kluczy służących do rejestracji nowych urządzeń, co pozwala na wprowadzenie do sieci obcych maszyn udających legalne urządzenia.

Badacze z Cyberdione Labs stwierdzili w testach laboratoryjnych, że taki dostęp może rozprzestrzeniać się automatycznie między urządzeniami. Firma Tailscale nie zgadza się jednak z określeniem tego zjawiska mianem robaka. Według analizy producenta napastnik ma dostęp tylko do maszyn, do których połączenie przez SSH jest już dozwolone przez politykę, dlatego sytuację należy traktować jako ruch boczny ograniczony zakresem tej polityki.

Aktualizacja rozwiązuje także problemy związane z funkcją Conn25, która jest kolejną wersją konektora aplikacji znajdującą się w fazie przedprodukcyjnej. Tailscale zadeklarowała, że błędy te zostaną naprawione przed oficjalnym uruchomieniem funkcji. Dodatkowo usunięto lukę typu Denial of Service, która pozwalała dowolnej osobie z internetu na zatrzymanie pracy serwera sterującego Tailscale w wersji self hosted lub blokowanie nowych urządzeń przed dołączeniem do sieci.

Tailscale jest platformą sieci mesh definiowaną programowo, która łączy komputery, telefony i serwery w jedną prywatną sieć zwaną tailnet, wykorzystując protokół WireGuard do szyfrowania i przesyłania danych. Usługa Tailscale SSH to wbudowany serwer SSH, który wykorzystuje tożsamość z konta Tailscale oraz polityki dostępu określone przez administratorów, aby decydować o tym, kto może połączyć się z daną maszyną wewnątrz sieci tailnet.

Administratorzy powinni jak najszybciej zaktualizować system do wersji v1.104.4 oraz zweryfikować polityki Tailscale SSH, aby ograniczyć dostęp tylko do niezbędnych użytkowników i urządzeń. W przypadku systemów o wysokim znaczeniu zaleca się rozważenie włączenia trybu Check w Tailscale SSH, który wymusza dodatkowy etap uwierzytelniania przed uzyskaniem dostępu do maszyny.