Falhas no Tailscale SSH permitem obter privilégios de administrador e propagar ataques na rede

A Tailscale está a preparar uma atualização de segurança para corrigir vulnerabilidades no Tailscale SSH que podem permitir a um atacante obter privilégios de administrador e propagar ataques entre servidores ligados à mesma rede privada. As falhas foram divulgadas publicamente pela Cyberdione Labs, sob a designação Tailworm, antes de estarem disponíveis versões corrigidas do software.

A investigação identifica 11 problemas de segurança, seis dos quais classificados como de gravidade elevada, que afetam o cliente Tailscale 1.104.2 e o headscale 0.29.5, uma implementação open source de um servidor de controlo compatível com a plataforma.

A Tailscale disponibiliza um serviço de VPN baseado no protocolo WireGuard, que permite estabelecer ligações privadas entre dispositivos e serviços. A funcionalidade Tailscale SSH utiliza a identidade dos equipamentos e as políticas de acesso da rede para autorizar ligações, sem exigir a gestão tradicional de palavras-passe ou chaves SSH.

Vulnerabilidades permitem obter acesso root

Quatro das vulnerabilidades de gravidade elevada identificadas pelos investigadores afetam o Tailscale SSH e estão relacionadas com a forma como determinadas operações de encaminhamento são executadas com privilégios root.

Segundo a Cyberdione Labs, os mecanismos destinados a limitar esses privilégios podem ser contornados, permitindo que uma sessão SSH execute operações para além das permissões atribuídas ao utilizador local.

Um atacante que já tenha comprometido um dispositivo pode explorar estas falhas contra servidores aos quais esse equipamento esteja autorizado a aceder, desde que as políticas de segurança permitam operações de encaminhamento SSH.

Nos testes laboratoriais, os investigadores conseguiram obter acesso root aos servidores de destino e extrair chaves que poderiam ser utilizadas para adicionar dispositivos não autorizados à rede.

A equipa demonstrou ainda que as vulnerabilidades podem ser exploradas de forma automatizada, permitindo a propagação entre servidores sem interação dos utilizadores. Nos testes realizados, o ataque conseguiu avançar entre equipamentos em menos de um segundo por ligação, dentro dos limites de acesso definidos pelas políticas SSH.

Este comportamento levou os investigadores a classificar as falhas como suscetíveis de propagação semelhante à de um worm.

Outros problemas afetam regras de acesso e serviços internos

Além das vulnerabilidades no SSH, o relatório descreve problemas numa funcionalidade experimental de ligação a aplicações, no Tailscale Serve, no headscale e no componente de relay do cliente.

Dependendo da vulnerabilidade, estas falhas podem permitir contornar regras de acesso para alcançar redes internas ou serviços de metadados de cloud, expor interfaces administrativas a outros dispositivos da rede ou provocar situações de negação de serviço.

A divulgação antecipada das vulnerabilidades gerou críticas, uma vez que os detalhes técnicos foram publicados antes da disponibilização de atualizações de segurança. A Cyberdione Labs defendeu que a divulgação rápida poderia acelerar a correção dos problemas.

Tailscale prevê atualização ainda em outubro

Em resposta à investigação, Mike Shaver, vice-presidente de Engenharia da Tailscale, esclareceu que a maioria dos problemas identificados está relacionada com operações realizadas depois de uma ligação ter sido autorizada.

“Em alguns casos, uma sessão pode conseguir fazer mais do que aquilo que deveria ser permitido ao utilizador local configurado”, explicou o responsável, citado pelo SecurityWeek.

Shaver sublinhou que estas vulnerabilidades não permitem, por si só, que um atacante sem autenticação estabeleça ligações arbitrárias a qualquer equipamento. O impacto depende das políticas de acesso SSH e das permissões configuradas.

Numa atualização publicada a 26 de outubro, a Tailscale indicou que já tinha desenvolvido correções para a maioria dos problemas e que pretendia disponibilizar uma versão atualizada do cliente até ao final de 27 de outubro, dependendo da conclusão dos testes.

A fabricante prevê publicar também um aviso de segurança e uma análise técnica após o lançamento da atualização. Entretanto, algumas correções já tinham sido integradas nos repositórios públicos do projeto, embora ainda não estivessem incluídas numa versão numerada.

Até à disponibilização das correções, a Tailscale recomenda que as organizações revejam as políticas de acesso SSH e desativem o encaminhamento SSH quando este não for necessário, uma medida que poderá mitigar várias das vulnerabilidades mais graves.

A empresa não recomenda, nesta fase, a desativação generalizada do Tailscale SSH. Até ao momento da divulgação das informações, nem a Tailscale nem os investigadores tinham comunicado evidências de exploração ativa destas falhas em ataques reais.