פגמים לא מתוקנים של Tailscale SSH מאפשרים למכשיר שנפגע לקבל גישת שורש בשרתים אחרים

רקע

חוקרת אבטחה בשם אריקה וינדיש פרסמה דוח בשם Tailworm ב-25 באוקטובר 2026 המתאר פגמים לא מתוקנים ב-SSH של Tailscale. הגרסאות שנבדקו היו Tailscale 1.104.2 ו-headscale 0.29.5. נכון למועד הפרסום, Tailscale לא פרסמה עלון אבטחה, מזהה CVE או גרסה מתוקנת.

מייק שאבר, סגן נשיא להנדסה של Tailscale, אישר שהחברה קיבלה את הדוח ועובדת עם מומחים חיצוניים כדי לטפל בבעיות. הוא ציין שהחברה עדיין בודקת אילו תצורות נפגעו ושאינה ממליצה להשבית את SSH של Tailscale אצל כולם.

פרטים טכניים

המתקפה דורשת אחיזה במכשיר אחד שכללי הגישה של הרשת מאפשרים לו להתחבר ליעד. עם הפעלת העברת פורטים SSH, תהליך Tailscale ברמת שורש יכול להיאלץ להתחבר לשקע מערכת מיוחס, מה שמקנה לתוקף גישת שורש ויכולת לקרוא את קובץ הסיסמאות. טכניקה שנייה מחליפה שקע בבעלות שורש בשקע של התוקף, ומאפשרת הרצת פקודות שורש ישירות. שיטה שלישית מתחרה בבדיקת נתיב קובץ כדי לעקוף מגבלת בטיחות, ובמעבדה שרשרת זו לכדה מפתח רישום וצירפה מכונה בשליטת התוקף לרשת כאשר Tailnet Lock לא היה מופעל.

בשירות המתארח של Tailscale ניתן לכבות העברה לכל כלל, אך ב-headscale 0.29.5 לא ניתן להשבית העברה, לכן כל הרשאת SSH שם יש להתייחס כמעניקה גישת שורש ליעד. החוקרת תיארה את ההתפשטות כתולעית מכיוון שמכשיר אחד שנפגע יכול להגיע לכל מכשיר מותר בפחות משנייה לכל שלב.

צעדי הקלה

מנהלי מערכת צריכים לשכתב את כללי הגישה של SSH כזוגות יחידים של מקור-ליעד המציינים מכשיר אחד ויעד אחד, ולהסיר כללים רחבים המבוססים על זהות או תג. יש להשבית העברת פורטים היכן שאפשר; בשירות המתארח זו הגדרה לכל כלל, בעוד שב-headscale לא ניתן לכבות אותה. יש להסיר הרשאות מחבר יישומים וכל tailscale serve forward שמצביע על שקע Unix. הפעלת תפוגת מפתח צומת, מחיקת מכשירים שנפגעו במישור הבקרה, הפעלת מצב בדיקת SSH והפעלת עדכונים אוטומטיים הם אמצעים מומלצים נוספים.

מקורות: The Hacker News