Екипът по сигурност на мрежовата платформа Tailscale обяви мерки за защита и публикува коригиращи бюлетини след разкриването на 11 уязвимости, известни с общото наименование Tailworm. Пропуските позволяват на вече оторизиран потребител или компрометирано устройство да повиши правата си до административно ниво (root) и потенциално да се придвижи между машините в мрежата. За бизнеса, който разчита на подобни VPN (Virtual Private Network – виртуална частна мрежа) решения за дистанционна работа и управление на сървъри, казусът изисква спешен преглед на конфигурациите.
Какво представлява пакетът от уязвимости Tailworm
Констатациите бяха публично оповестени от изследователите от Cyberdione Labs с ръководител Ерика Виндиш след проведен одит върху клиентския софтуер Tailscale версия 1.104.2 и алтернативния контролен сървър с отворен код headscale версия 0.29.5. Tailscale изгражда криптирана мрежа върху протокола WireGuard, свързвайки работни станции, физически сървъри и облачни ресурси чрез директни peer-to-peer (P2P) канали.
Всички открити дефекти са били възпроизведени и потвърдени в лабораторни условия върху официален, непроменен софтуер. Според изследователите бързото огласяване има за цел да ускори отстраняването на рисковете при крайните потребители, макар че публикуването на детайлите стана факт преди официалното издаване на завършени софтуерни пакети с поправки.
Най-опасните дефекти засягат компонента Tailscale SSH, който управлява достъпа въз основа на идентичност на машината и политики за мрежова сигурност, заменяйки традиционните пароли и SSH (Secure Shell) ключове. При определени условия операциите по пренасочване (forwarding) се изпълняват с root привилегии, а вградените бариери за сигурност могат да бъдат заобиколени. В лабораторна среда изследователите демонстрираха, че компрометирането на една машина позволява автоматизирано прехвърляне към други достъпни сървъри за под една секунда на стъпка, без да се изисква въвеждане на потребителски данни или намеса от оператор.
Кои компоненти и системи са засегнати
В публикувания доклад се посочват редица слаби места в различни функционалности на софтуера:
- Tailscale SSH: Четири от уязвимостите с висока степен на опасност засягат директно тази функция. Чрез пренасочване на Unix сокети (Unix-socket forwarding) оторизиран потребител може да надхвърли ограниченията на локалния си профил и да изпълни код с root права.
- App connector и Serve: Открити са слабости в експерименталния конектор за приложения и услугата Serve, които позволяват заобикаляне на вътрешни правила за контрол и достъп до метаданни в облачни среди или вътрешни мрежови ресурси.
- Headscale и релеен компонент (Relay): Идентифицирани са възможности за излагане на административния интерфейс на възел пред отдалечени участници в мрежата, както и сценарии за предизвикване на отказ от услуга (DoS – Denial of Service).
Майк Шейвър, вицепрезидент по инженерната дейност в Tailscale, посочи, че повечето дефекти са свързани с правата на сесията след първоначална автентикация, а не с атака от напълно неоторизиран външен източник. Въпреки това потенциалното въздействие зависи пряко от съществуващите правила за достъп. До момента няма регистрирани данни за злонамерено използване на уязвимостите в реални условия.
Какво да предприемат системните администратори
От Tailscale обявиха, че подготвят обновен клиентски софтуер за отстраняване на пропуските и публикуваха четири информационни бюлетина със съвети за защита. Компанията изрично отбелязва, че не препоръчва цялостно изключване на Tailscale SSH, а прилагане на конкретни превантивни мерки.
Спешна мярка: Най-сериозните вектори за ескалация на права могат да бъдат блокирани незабавно, като се забрани функцията за SSH forwarding, без да се прекъсва нормалната отдалечена работа.
Задайте променливата на средата TS_SSH_DISABLE_FORWARDING=1 в конфигурацията на системната услуга tailscaled и я рестартирайте. Това неутрализира рисковете, свързани с пренасочване на сокети.
Прегледайте мрежовите правила (ACL) за достъп през SSH. Премахнете широките разрешения и ограничете достъпа само до устройствата и профилите, за които той е критично необходим.
Затегнете временно правилата за достъп до критичните сървъри и бази данни, за да изолирате евентуални опити за странично придвижване (lateral movement).
Подгответе се за незабавно обновяване на инсталациите, когато излязат новите официални версии на клиента след Tailscale 1.104.2 и сървъра headscale след v0.29.5.
Препоръки за защита
Казусът с пакета Tailworm показва, че дори модерни решения за мрежова сигурност без пароли могат да съдържат слабости при обработката на вътрешните системни права. Ако нападател получи начален достъп до единично устройство чрез фишинг или пробив в уеб приложение, прекомерните мрежови привилегии могат да застрашат цялата вътрешна среда. За фирми, които се нуждаят от преглед на политиките за отдалечен достъп или правилно конфигуриране на виртуалните си мрежи, специалистите на Defend.bg могат да окажат съдействие с проверка и оптимизация на сигурността.
