Cyberdione Labs descubrió 11 vulnerabilidades críticas en Tailscale y Headscale que podrían permitir el robo de credenciales y la obtención de privilegios de root. El equipo de Tailscale ha confirmado que los fallos son graves y está trabajando en parches urgentes para solucionarlos. Mientras tanto, recomiendan revisar las políticas de acceso SSH y desactivar el reenvío (forwarding) si no es necesario.





El equipo de seguridad de Tailscale está trabajando para parchear casi una docena de vulnerabilidades de seguridad que podrían ser explotadas para robar credenciales, bloquear servidores, obtener privilegios de root y más.

Tailscale desarrolla una red privada virtual (VPN) de malla definida por software basada en WireGuard que permite a los usuarios conectar computadoras, servidores e instancias de nube desde cualquier lugar a la misma red de malla cifrada ("tailnet") a través de conexiones directas punto a punto (P2P).

Cyberdione Labs descubrió 11 fallos (conocidos colectivamente como Tailworm) que aún carecen de parches durante una auditoría de seguridad de Tailscale 1.104.2 y el servidor de control autoalojado headscale v0.29.5.

"Todos los hallazgos fueron verificados mediante reproducción en un entorno de laboratorio en software lanzado sin modificar (tailscale v1.104.2, headscale v0.29.5)", afirmó Erica Windisch, fundadora de Cyberdione Labs, quien informó los fallos a Tailscale y publicó los detalles públicamente.

"Los investigadores opinan que una concienciación rápida de estos fallos acelerará la remediación en los dispositivos afectados. Estas vulnerabilidades no fueron introducidas por los investigadores, sino que fueron descubiertas, y descubiertas con poco esfuerzo".

La siguiente tabla clasifica los problemas de seguridad según el componente que afectan. El problema más crítico se encuentra en el servidor SSH de Tailscale y podría permitir que atacantes autorizados logren la ejecución de código con privilegios de root a través del reenvío de sockets Unix en una tailnet objetivo.

Componente / función | Mecanismo (qué se rompe) | Requisito del atacante | Resultado principal
Tailscale SSH (servidor SSH embebido de tailscaled, ejecutándose como root) | El reenvío de sockets Unix (ssh -R/-L) realiza comprobaciones de ruta y operaciones de archivos como root; las condiciones de carrera y la falta de eliminación de privilegios permiten que una sesión ordinaria reemplace, marque o elimine recursos privilegiados | Un dispositivo aprobado + una regla de política SSH (reenvío concedido automáticamente en headscale; por regla en SaaS) | Ejecución de root en servidores objetivo; captura de claves de inscripción; eliminación arbitraria de archivos root
Conectores de aplicación Tailscale (conn25, experimental) | El conector traduce el tráfico a destinos elegidos por el atacante sin validación; las ACL de red nunca se consultan para el destino real | Un dispositivo al que se le haya concedido la capacidad de conector | Acceso a metadatos de la nube (robo de credenciales), LANs internas y —en Kubernetes— a cada servicio del clúster
Servidor de control headscale (despliegues autoalojados) | Agotamiento de recursos no autenticado (crecimiento de memoria, desalojo de caché) | Accesibilidad desde Internet; sin cuenta | Bucle de bloqueo del servidor de control; bloqueo de la incorporación de nuevos dispositivos en toda la organización
Cliente Tailscale DERP (conexión de relé en cada agente) | Lectura no limitada de la respuesta de un relé malicioso | Capacidad de posicionar/apuntar un cliente a un relé hostil | Agotamiento de memoria del agente cliente
tailscale serve (exposición de servicio local) | El reenvío TCP a un socket unix carece de una protección presente en la ruta HTTP; además de una carrera en la autorización por montaje | El operador configura el reenvío (o un par gana la carrera de comprobación de montaje) | Acceso remoto a la API administrativa del nodo; una minoría de solicitudes omite la autorización de la aplicación

El lunes, el equipo de Tailscale dijo que había recibido el informe de Cyberdione Labs y que estaba trabajando en parches para solucionar estos problemas de seguridad para el final del día.

Los desarrolladores también confirmaron que los fallos reportados son "graves", ya que podrían permitir que actores de amenazas con permisos en los sistemas objetivo realicen acciones con privilegios elevados.

"La mayoría de los problemas de Tailscale SSH que hemos identificado se refieren a la escalada de privilegios. En algunas circunstancias, alguien ya autorizado para conectarse a través de Tailscale SSH podría ser capaz de realizar acciones más allá de los permisos de su usuario local configurado, incluyendo potencialmente la obtención de privilegios elevados", afirmó Tailscale [enlace].

"Estos son problemas de seguridad graves y los estamos tratando como tales. La explotación depende de los permisos concedidos al usuario o dispositivo que se conecta, la configuración del sistema y otras condiciones. Seguimos verificando el alcance total de los hallazgos y qué configuraciones pueden verse afectadas".

Sin embargo, a pesar de la gravedad de los problemas, Tailscale dijo que no recomienda que los usuarios desactiven la función Tailscale SSH.

"Si quieres ir a la parte más importante, basándonos en nuestra evaluación actual, no recomendamos que todo el mundo desactive Tailscale SSH", dijo Mike Shaver, vicepresidente de ingeniería de Tailscale.

En su lugar, el equipo de Tailscale compartió medidas que deberían mitigar algunos de estos fallos:

* Revisar las políticas de acceso SSH. Limitar el acceso a los usuarios y dispositivos que lo necesiten.
* Desactivar el reenvío SSH si no es necesario. Establecer TS_SSH_DISABLE_FORWARDING=1 en el entorno del servicio tailscaled y reiniciar el servicio. Esto desactiva el reenvío SSH sin desactivar Tailscale SSH por completo y mitiga varios de los hallazgos más graves.
* Revisar el acceso a sistemas sensibles. Considerar el endurecimiento temporal de las políticas de acceso de Tailscale SSH mientras investigamos, para que solo los usuarios y dispositivos específicos que necesiten acceso puedan conectarse.

Los desarrolladores de Tailscale pretenden lanzar una nueva versión que solucione estos problemas para el final del martes 27 de octubre, e instaron a los usuarios a prepararse para actualizar y "aplicar la versión parcheada del cliente Tailscale cuando esté disponible".

Fuente:
BleepingComputer