La ricercatrice di sicurezza Erica Windisch di Cyberdione Labs ha segnalato debolezze in Tailscale SSH che, nei test di laboratorio, hanno permesso a un attaccante che controllava un dispositivo di ottenere accesso root su altri server raggiungibili. L'attacco richiedeva che fosse consentito l'inoltro di porte SSH e che le regole di accesso alla rete permettessero al dispositivo compromesso di connettersi ai propri obiettivi.
Windisch ha pubblicato i risultati il 25 ottobre in un rapporto intitolato Tailworm, al termine di tre giorni di test con Tailscale 1.104.2 e headscale 0.29.5, un'alternativa self-hosted al servizio di controllo ospitato da Tailscale. I risultati descrivono attacchi di laboratorio, senza sfruttamenti segnalati su reti reali.
Secondo The Hacker News, al momento della pubblicazione Tailscale non aveva diffuso alcun bollettino di sicurezza, identificativo CVE o versione corretta per questi risultati. Nessun altro ricercatore li aveva riprodotti pubblicamente e Tailscale non aveva confermato le specifiche affermazioni tecniche.
Il vicepresidente dell'ingegneria di Tailscale, Mike Shaver, ha dichiarato su Reddit che l'azienda aveva ricevuto la segnalazione, stava già indagando sulle stesse aree con specialisti esterni di sicurezza e aveva individuato problemi che stava lavorando a correggere. Ha aggiunto che l'azienda stava ancora stabilendo quali configurazioni fossero interessate e che «non raccomando a tutti di disattivare Tailscale SSH».
Come funzionavano gli attacchi SSH segnalati
Tailscale SSH usa l'identità dei dispositivi e regole di accesso per autorizzare le connessioni, invece di richiedere la classica password o chiave SSH. Gli attacchi segnalati non richiedevano quindi credenziali SSH rubate, ma presupponevano un punto d'appoggio già presente su un dispositivo autorizzato. I risultati non stabiliscono un modo per ottenere quell'accesso iniziale.
In un test, Windisch ha riferito che un normale inoltro di porte SSH faceva sì che il processo Tailscale con privilegi di root si collegasse a un socket di sistema riservato a root. Ciò forniva accesso root e permetteva al test di leggere il file delle password di sistema, senza che l'utente connesso avesse privilegi di amministratore.
Secondo quanto riferito, un secondo metodo sostituiva un socket di proprietà di root con uno controllato dall'attaccante, consentendo l'esecuzione di comandi come root attraverso alcuni servizi. Un terzo sfruttava una race condition tra un controllo di sicurezza sul percorso dei file e il successivo utilizzo di quel percorso, aggirando le restrizioni sui file a cui l'inoltro poteva accedere.
La terza catena ha anche catturato una chiave usata per registrare i dispositivi e l'ha impiegata per aggiungere alla rete una macchina controllata dall'attaccante come server fidato. Questa sequenza si completava solo dove Tailnet Lock era disattivato. Con Tailnet Lock attivo, il rapporto afferma che i segreti necessari erano stati catturati durante il transito, ma che il passaggio finale della registrazione non era stato completato.
Windisch ha definito il risultato complessivo «wormable», affermando che la compromissione potrebbe propagarsi attraverso i dispositivi consentiti dalle regole di accesso in meno di un secondo per passaggio, senza password, chiavi rubate o interazione dell'utente. Velocità e propagazione sono state dimostrate in laboratorio. Alcuni ricercatori hanno messo pubblicamente in dubbio la definizione di wormable, mentre altri hanno descritto come grave il risultato sull'accesso root.
La configurazione determina l'esposizione
Il rapporto indica nelle regole di accesso che specificano singole coppie di dispositivi sorgente-destinazione un controllo che, nei test, ha bloccato la propagazione. Anche le chiavi dei dispositivi vincolate all'hardware, come quelle legate a un TPM o a un Secure Enclave, limitavano gli attacchi.
I controlli sull'inoltro variano a seconda della distribuzione. Sul servizio ospitato da Tailscale, l'inoltro di porte SSH può essere disattivato per singola regola. Secondo il rapporto, headscale 0.29.5 non permette di disattivarlo; Windisch sostiene quindi che le concessioni SSH su quella versione debbano essere considerate come concessive di accesso root ai relativi obiettivi.
Gli attacchi SSH fanno parte di undici risultati che riguardano le funzionalità di Tailscale e headscale. Windisch ha segnalato anche che la funzione sperimentale di connettore app conn25 potrebbe permettere a un utente autorizzato di raggiungere destinazioni che gli amministratori non avevano approvato, incluso un servizio di metadati cloud in grado di fornire credenziali dei server. Si tratta ancora di un'affermazione del ricercatore, non di una prova di credenziali sottratte da un ambiente di produzione.
Le misure di configurazione indicate nel rapporto includono restringere i permessi SSH, disattivare l'inoltro dove supportato, rimuovere i permessi non necessari dei connettori app e rimuovere gli inoltri tailscale serve verso socket Unix. Abilitare la scadenza delle chiavi dei nodi limita la validità di una chiave rubata; eliminare un dispositivo compromesso dal control plane revoca un accesso che la sola reinstallazione potrebbe lasciare intatto.
Tailscale raccomanda anche la modalità check per SSH, che aggiunge un passaggio di accesso prima di una sessione, e gli aggiornamenti automatici. La modalità check aggiunge una barriera di accesso, ma non corregge l'escalation di privilegi segnalata.
Windisch ha dichiarato che il codice proof-of-concept è stato condiviso solo con il contatto di sicurezza di Tailscale. Pur definendo la divulgazione «segnalata ma non coordinata», ha spiegato a The Hacker News di aver inviato all'azienda sia il rapporto sia il codice prima della pubblicazione.
