გამოუსწორებელი Tailscale SSH-ის ხარვეზები კომპრომიტირებულ მოწყობილობას სხვა სერვერებზე root-წვდომის მოპოვების საშუალებას აძლევს

კონტექსტი

უსაფრთხოების მკვლევარმა ერიკა ვინდიშმა 2026 წლის 25 ოქტომბერს გამოაქვეყნა მოხსენება სახელწოდებით Tailworm, რომელშიც აღწერილია Tailscale SSH-ის გამოუსწორებელი ხარვეზები. ტესტირებული ვერსიები იყო Tailscale 1.104.2 და headscale 0.29.5. პუბლიკაციის დროისთვის Tailscale-ს არ გამოუქვეყნებია უსაფრთხოების ბიულეტენი, CVE იდენტიფიკატორი ან გამოსწორებული ვერსია.

Tailscale-ის ინჟინერიის ვიცე-პრეზიდენტმა მაიკ შეივერმა დაადასტურა, რომ კომპანიამ მოხსენება მიიღო და საკითხების მოგვარებაზე გარე სპეციალისტებთან ერთად მუშაობს. მისი თქმით, კომპანია ჯერ კიდევ არკვევს, რომელი კონფიგურაციებია დაზარალებული და არ ურჩევს ყველა მომხმარებელს Tailscale SSH-ის გამორთვას.

ტექნიკური დეტალები

შეტევისთვის საჭიროა ერთ მოწყობილობაზე წვდომის მოპოვება, რომელსაც ქსელის წვდომის წესები სამიზნესთან დაკავშირების უფლებას აძლევს. როცა SSH პორტის გადამისამართება ჩართულია, root დონეზე მომუშავე Tailscale-ის პროცესი შეიძლება აიძულონ, დაუკავშირდეს პრივილეგირებულ სისტემურ სოკეტს, რაც შემტევს root-წვდომას და პაროლების ფაილის წაკითხვის საშუალებას აძლევს. მეორე ტექნიკა root-ის საკუთრებაში არსებულ სოკეტს შემტევის სოკეტით ცვლის, რაც პირდაპირ root უფლებებით ბრძანების შესრულების შესაძლებლობას იძლევა. მესამე მეთოდი იყენებს რბოლას ფაილის ბილიკის შემოწმებასა და მის გამოყენებას შორის, რათა უსაფრთხოების ლიმიტს გვერდი აუაროს. ლაბორატორიაში ამ ჯაჭვმა მოიპოვა ახალი მოწყობილობების რეგისტრაციის გასაღები და შემტევის მიერ კონტროლირებადი მოწყობილობა ქსელს შეუერთა მაშინ, როცა Tailnet Lock ჩართული არ იყო.

Tailscale-ის ჰოსტინგის სერვისზე გადამისამართება შესაძლებელია გაითიშოს თითოეული წესისთვის, თუმცა headscale 0.29.5-ზე გადამისამართება საერთოდ ვერ გაითიშება, ამიტომ იქ SSH-ის ყოველი ნებართვა ისე უნდა განიხილებოდეს, თითქოს სამიზნეზე root-წვდომას ანიჭებს. მკვლევარმა გავრცელება „ჭიისებრად“ აღწერა, რადგან ერთ კომპრომიტირებულ მოწყობილობას შეეძლო ყოველ ნაბიჯზე ერთ წამზე ნაკლებ დროში ყველა დაშვებულ მოწყობილობამდე მიეღწია.

რისკის შემცირების ზომები

ადმინისტრატორებმა SSH-ის წვდომის წესები უნდა გადაწერონ როგორც ცალკეული წყარო-დანიშნულების წყვილები, რომლებიც ასახელებენ ერთ მოწყობილობას და ერთ სამიზნეს, და წაშალონ იდენტობის ან ტეგის საფუძველზე შექმნილი ფართო წესები. პორტის გადამისამართება სადაც შესაძლებელია უნდა გაითიშოს; ჰოსტინგის სერვისზე ეს წესის დონეზეა მორგებული, ხოლო headscale-ზე მისი გამორთვა შეუძლებელია. უნდა მოიხსნას App connector-ის ნებართვები და ნებისმიერი tailscale serve-ის გადამისამართება, რომელიც Unix სოკეტისკენ მიდის. დამატებით რეკომენდებულ ზომებს შორისაა node-key-ის ვადის გასვლის ჩართვა, კომპრომიტირებული მოწყობილობების საკონტროლო სიბრტყეზე წაშლა, SSH check mode-ის ჩართვა და ავტომატური განახლებების ჩართვა.

წყაროები: The Hacker News