Tailscale prépare des correctifs pour des failles de sécurité qui pourraient permettre à des utilisateurs déjà autorisés à se connecter via Tailscale SSH de dépasser les droits de leur compte local, et potentiellement d'obtenir les privilèges root. Selon le rapport de BleepingComputer du 27 octobre, l'entreprise vise à publier les correctifs d'ici la fin de la journée du mardi 27 octobre et a détaillé des mesures d'atténuation provisoires.
Cyberdione Labs a signalé 11 vulnérabilités, appelées collectivement Tailworm, à la suite d'un audit de Tailscale 1.104.2 et du serveur de contrôle auto-hébergé headscale v0.29.5. Les constats portent sur SSH, les connecteurs d'application, les connexions relais, l'exposition des services locaux et headscale. Erica Windisch, fondatrice de Cyberdione, a déclaré que les chercheurs avaient reproduit l'ensemble des constats en laboratoire à partir de ces versions non modifiées. Le rapport décrivait les failles comme non corrigées au moment de la publication.
Tailscale a accusé réception du rapport lundi et a qualifié les problèmes de sérieux, tout en précisant qu'il vérifiait encore leur portée complète et les configurations concernées. L'exploitation dépend des autorisations de l'utilisateur ou de l'appareil qui se connecte, de la configuration du système et d'autres conditions, a indiqué l'entreprise.
La redirection SSH ouvre une voie au-delà des droits du compte
Les failles SSH signalées concernent la redirection vers des sockets Unix dans le serveur SSH intégré à tailscaled, qui s'exécute en root. Selon les constats des chercheurs tels que présentés par BleepingComputer, des vérifications de chemins et des opérations sur les fichiers effectuées avec des privilèges root, combinées à des conditions de concurrence et à l'absence d'abandon des privilèges, pourraient permettre à une session ordinaire de remplacer, de se connecter à ou de supprimer des ressources privilégiées.
Le prérequis signalé est un appareil approuvé et une règle de politique SSH. Sur headscale, la redirection est accordée automatiquement, tandis que le service hébergé de Tailscale la contrôle règle par règle. Les conséquences potentielles documentées comprennent l'exécution de code en root sur les serveurs cibles, la capture de clés d'enrôlement et la suppression arbitraire de fichiers appartenant à root.
Tailscale a indiqué qu'une personne déjà autorisée à se connecter via Tailscale SSH pourrait, dans certaines circonstances, effectuer des actions au-delà des droits de l'utilisateur local configuré. Il s'agit d'un risque d'élévation de privilèges après un accès autorisé ; le rapport n'établit pas que chaque tailnet est exposé dans toutes les configurations.
Mesures provisoires en attendant les correctifs
Tailscale estime que son évaluation actuelle ne justifie pas de recommander à tout le monde de désactiver Tailscale SSH. L'entreprise conseille plutôt de revoir les politiques SSH, de limiter l'accès aux utilisateurs et aux appareils qui en ont besoin, et d'envisager des restrictions temporaires pour les systèmes sensibles.
Pour les systèmes qui n'ont pas besoin de la redirection SSH, l'entreprise recommande de définir TS_SSH_DISABLE_FORWARDING=1 dans l'environnement du service tailscaled, puis de redémarrer le service. Elle indique que cela désactive la redirection tout en gardant Tailscale SSH disponible, et atténue plusieurs des constats les plus graves. Les utilisateurs étaient également invités à se préparer à appliquer la version corrigée du client dès sa disponibilité.
Les autres constats ont des prérequis différents. Un appareil auquel a été accordée la capacité expérimentale conn25 de connecteur d'application pourrait diriger du trafic vers des destinations sans contrôles ACL réseau sur la destination réelle, et potentiellement atteindre les identifiants des métadonnées cloud, les réseaux internes et, dans Kubernetes, chaque service du cluster. Un serveur de contrôle headscale accessible depuis Internet pourrait subir un épuisement de ressources sans authentification, provoquant des boucles de plantage et bloquant l'intégration de nouveaux appareils.
Les chercheurs ont également signalé un épuisement de la mémoire côté client lorsqu'un attaquant peut diriger un agent vers un relais DERP malveillant. Par ailleurs, les constats concernant tailscale serve portent sur l'accès à l'API d'administration à distance lorsqu'un opérateur configure une redirection TCP vers un socket Unix, ainsi que sur une condition de concurrence dans l'autorisation qui pourrait permettre à une minorité de requêtes de contourner l'autorisation applicative. Le compte rendu fourni décrit des résultats de laboratoire et des conséquences potentielles, sans signaler d'exploitation dans la nature.
