Tailscale werkt aan patches voor bijna een dozijn beveiligingslekken in zijn SSH-functionaliteit, nadat een eerdere melding van een externe onderzoeker uitgroeide tot een bredere erkenning door het bedrijf zelf. Het ernstigste lek kan een aanvaller die al één apparaat op een Tailscale-netwerk heeft gekraakt, root-toegang geven op andere servers die dat apparaat kan bereiken.
Onderzoeker Erica Windisch van Cyberdione Labs publiceerde op 25 oktober het rapport “Tailworm”, na drie dagen testen met Tailscale 1.104.2 en het zelfgehoste headscale 0.29.5 in een labomgeving. Voor misbruik moet Tailscale SSH zo zijn ingesteld dat port forwarding is toegestaan, en moet de aanvaller al een apparaat controleren dat volgens de toegangsregels met het doelsysteem mag verbinden. Die eerste stap, het overnemen van dat apparaat, verloopt via gangbare routes als een kwetsbare webapplicatie, een vergiftigd softwarepakket, phishing of gestolen inloggegevens, en heeft dus niets met Tailscale zelf te maken. Voor het SSH-deel van de aanval zijn vervolgens geen wachtwoorden of sleutels nodig. Bij Tailscale’s gehoste dienst kan forwarding per regel worden uitgezet, bij headscale 0.29.5 niet; met Tailnet Lock ingeschakeld voltooide de aanvalsketen in het lab de laatste stap niet. Tailscale had op dat moment nog geen beveiligingsbulletin, CVE-nummer of patch, maar vicepresident engineering Mike Shaver bevestigde op Reddit dat het bedrijf de bevindingen onderzocht en problemen had gevonden waaraan het werkte.
Op 27 oktober erkende Tailscale in een eigen, breder advisory dat Cyberdione Labs in totaal elf kwetsbaarheden had gevonden. Naast het SSH-lek, dat via race conditions en het ontbreken van een privilege-drop bij Unix-socket-forwarding root-bestanden en enrollment-sleutels blootlegt, noemt Tailscale ook risico’s in zijn experimentele app connectors (toegang tot cloud-metadata en interne netwerken zonder ACL-controle), in de headscale-controleserver (ongeauthenticeerde geheugenuitputting die onboarding van nieuwe apparaten blokkeert), in de DERP-client (geheugenuitputting via een kwaadwillige relay) en in tailscale serve (een ontbrekende controle en een race condition die externe toegang tot de administratieve API van een node mogelijk maken).
Een definitieve patch was er op het moment van schrijven nog niet, maar Tailscale verwachtte die binnen 24 uur te kunnen uitrollen als de tests slagen. Tot die tijd adviseert het bedrijf om het SSH-toegangsbeleid te herzien en te beperken tot wie het echt nodig heeft, en om forwarding tijdelijk uit te zetten met de omgevingsvariabele TS_SSH_DISABLE_FORWARDING=1 op de tailscaled-service, waarna Tailscale SSH zelf wel blijft werken. Tailscale raadt niet aan om Tailscale SSH volledig uit te schakelen.
Organisaties die Tailscale SSH met port forwarding gebruiken, doen er goed aan deze tijdelijke maatregel nu al toe te passen en de toegang tot gevoelige systemen tijdelijk te verkrappen, in plaats van te wachten op de aangekondigde patch.
Bron: BleepingComputer en The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt uw organisatie Tailscale SSH met port forwarding? Zet forwarding tijdelijk uit met TS_SSH_DISABLE_FORWARDING=1 op de tailscaled-service, herzie wie toegang heeft tot SSH, en wacht niet tot de definitieve patch om de toegang tot gevoelige systemen te verkrappen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.