Dobësitë e Tailscale SSH mund të mundësojnë root access nëpër rrjete
Dobësitë e Tailscale SSH, të dokumentuara nga një studiues i Cyberdione Labs, mund t’i lejojnë një sulmuesi që kontrollon një pajisje të fitojë root access, nivelin më të lartë të kontrollit të sistemit, në serverë të tjerë të lejuar. Sulmi kërkon që Tailscale SSH, një veçori për hyrje në distancë e bazuar në Secure Shell, të lejojë port forwarding, i cili i mundëson një lidhjeje të përcjellë trafik drejt një destinacioni tjetër lokal ose në distancë. Pajisja e komprometuar duhet gjithashtu të jetë e autorizuar nga rregullat e aksesit të rrjetit për t’u lidhur me objektivin e saj.
Gjetjet u publikuan më 25 tetor në një raport me titull Tailworm. Studiuesi testoi Tailscale 1.104.2 dhe headscale 0.29.5, një server të hostuar vetë, të cilin disa organizata e përdorin në vend të shërbimit të hostuar të Tailscale. Testimi u zhvillua gjatë tri ditëve në laborator. Raporti nuk përshkruan sulme të vërejtura në rrjete operative dhe asnjë studiues tjetër nuk i ka riprodhuar publikisht gjetjet e tij. Në kohën e publikimit nuk kishte buletin sigurie, identifikues CVE ose version të korrigjuar dhe Tailscale nuk i kishte konfirmuar pretendimet teknike individuale.
Tailscale deklaroi publikisht se e kishte marrë raportin dhe se tashmë po shqyrtonte të njëjtat fusha me specialistë të jashtëm të sigurisë. Zëvendëspresidenti i kompanisë për inxhinierinë tha se kompania kishte identifikuar probleme që po punonte t’i korrigjonte, por ende po përcaktonte se cilat konfigurime prekeshin. Kompania nuk po i këshillonte të gjithë klientët që ta çaktivizonin Tailscale SSH.
Rreziku buron nga mënyra se si Tailscale SSH autorizon session-et. Një server SSH tradicional zakonisht kontrollon fjalëkalimin ose cryptographic key të përdoruesit. Në vend të kësaj, Tailscale SSH identifikon pajisjen që po lidhet dhe përdor një rregull aksesi për të vendosur nëse ajo pajisje mund të nisë një SSH session. Prandaj, sulmi i raportuar nuk kërkon që sulmuesi të vjedhë një fjalëkalim SSH ose SSH key. Megjithatë, ai kërkon një komprometim fillestar, i cili, sipas raportit, mund të vijë nga një aplikacion web i cenueshëm, një paketë software keqdashëse, phishing ose kredenciale të vjedhura hyrjeje. Vetë Tailscale nuk e siguron këtë pikëmbështetje fillestare.
Në testin e parë laboratorik, port forwarding standard i SSH bëri që procesi Tailscale, i cili ekzekutohet me privilegje root, të lidhej me një system socket. Një socket është një kanal lokal komunikimi që përdoret nga software dhe ky socket i veçantë duhej të ishte i qasshëm vetëm nga root. Session-i fitoi root access dhe lexoi skedarin e fjalëkalimeve të sistemit pa të drejta administratori. Në një metodë tjetër, studiuesi zëvendësoi një socket në pronësi të root me një socket të kontrolluar nga sulmuesi, duke mundësuar komanda të drejtpërdrejta root kundër disa shërbimeve.
Një teknikë e tretë shfrytëzoi një boshllëk kohor midis kontrollimit të një shtegu skedari dhe përdorimit të tij. Duke ndryshuar objektivin gjatë atij intervali të shkurtër, testi anashkaloi një masë mbrojtëse që synonte të kufizonte skedarët që mund të arriheshin përmes forwarding. Zinxhiri që rezultoi kapi një device enrolment key dhe e përdori për të shtuar në rrjet një pajisje të kontrolluar nga sulmuesi si server të besuar. Ky zinxhir i plotë funksionoi vetëm aty ku Tailnet Lock nuk ishte aktivizuar. Kur Tailnet Lock ishte aktiv, sekretet u kapën gjatë kalimit ndërmjet sistemeve, por hapi përfundimtar i regjistrimit nuk u përfundua.
Studiuesi e përshkroi zinxhirin si wormable, sepse një pajisje e komprometuar mund të kalonte te çdo pajisje tjetër e lejuar nga rregullat e aksesit, pa fjalëkalime të tjera, SSH keys të vjedhura ose ndërveprim nga përdoruesi. Në laborator, çdo hap zgjati më pak se një sekondë. Disa studiues që shqyrtuan raportin kanë vënë në dyshim nëse wormable është përshkrimi i duhur, ndërsa të tjerë e kanë cilësuar rezultatin e root access si serioz. Në raport nuk ka prova se kjo përhapje ka ndodhur në rrjete reale.
Dy masa kontrolli e ndaluan ose e kufizuan zinxhirin laboratorik. Rregullat e aksesit të kufizuara në një burim të vetëm të emërtuar dhe një destinacion të vetëm të emërtuar parandaluan përhapjen e mëtejshme. Device keys të lidhura me hardware, si Trusted Platform Module (TPM) ose Secure Enclave, gjithashtu e kufizuan sulmin. Një TPM është një komponent i mbrojtur që mund ta mbajë materialin cryptographic të lidhur me një pajisje të caktuar.
Administratorët kanë mundësi të ndryshme në varësi të mënyrës së implementimit. Shërbimi i hostuar i Tailscale lejon që port forwarding të çaktivizohet për çdo rregull. Headscale 0.29.5 nuk e ofron këtë mundësi, ndaj raporti rekomandon që çdo leje SSH në atë version të trajtohet si diçka që mund të japë root access në destinacion. Tailscale rekomandon gjithashtu SSH check mode, i cili shton një hap miratimi për hyrjen, si dhe përditësimet automatike. SSH check mode krijon një pengesë tjetër, por nuk e korrigjon privilege escalation të raportuar.
Problemi i SSH është një nga 11 gjetjet në Tailworm. Raporti shqyrton gjithashtu app connectors, veçorinë serve, DERP relay që përcjell trafik ndërmjet pajisjeve dhe headscale. Sipas pretendimit, një problem i app connector në veçorinë eksperimentale conn25 i lejon një përdoruesi të autorizuar të dërgojë trafik drejt destinacioneve që ekipi i sigurisë nuk i ka miratuar. Këto destinacione mund të përfshijnë metadata service të një ofruesi cloud, një shërbim të brendshëm që mund të japë kredenciale serveri. Studiuesi tha se për disa organizata ky problem mund të ketë pasoja më të mëdha sesa SSH escalation.
Kodi proof-of-concept nuk është bërë publik. Studiuesi tha se ai iu dërgua privatisht kontaktit të sigurisë të Tailscale bashkë me raportin, të shtunën para publikimit. Disclosure u përshkrua si i raportuar, por jo i koordinuar, dhe koha e tij tërhoqi kritika publike. Studiuesi tha gjithashtu se shqetësime të mëparshme arkitekturore i ishin paraqitur drejtuesit ekzekutiv të Tailscale dhe se një file hash ishte publikuar bashkë me këshillën për ta çaktivizuar Tailscale SSH.
Gjetjet pasojnë punë të mëparshme në të njëjtin komponent. Gjatë vitit 2026, Tailscale korrigjoi disa probleme të SSH dhe të trajtimit të server socket, duke përfshirë një dobësi që lejonte SSH Unix socket forwarding të arrinte një privileged socket. Ky problem u korrigjua në versionin 1.98.9.
Derisa të konfirmohen korrigjimet dhe konfigurimet e prekura, administratorët duhet t’i zëvendësojnë rregullat e gjera SSH të bazuara në identitet ose tag me rregulla për një pajisje dhe një objektiv të vetëm, të çaktivizojnë forwarding kudo që shërbimi e lejon, të heqin lejet e panevojshme të app connector dhe të fshijnë çdo rregull tailscale serve forwarding të drejtuar te një Unix socket. Node-key expiry duhet të aktivizohet që device keys të kopjuara të mos mbeten të vlefshme për një kohë të pakufizuar. Nëse një pajisje komprometohet, ajo duhet të fshihet përmes control plane, shërbimit qendror që menaxhon anëtarësinë në rrjet, sepse riinstalimi i pajisjes nuk i revokon keys që sulmuesi mund t’i ketë kopjuar tashmë.
Për lexuesit që po vlerësojnë pasojat më të gjera të këtij problemi për IT, AEU-I ofron shërbime IT, infrastrukture dhe konsulence me sigurinë në plan të parë. Organizatat duhet të dokumentojnë çdo kufizim të përkohshëm që vendosin dhe të vazhdojnë të ndjekin publikimet për një buletin nga ofruesi, konfigurimet e konfirmuara si të prekura dhe një release të korrigjuar.