Tailscaleは、Tailscale SSHの権限昇格の脆弱性に対処するクライアント更新の提供準備を進めています。脆弱性の詳細は週末に公開されました。
Tailscaleは、WireGuardプロトコルを使ったメッシュVPNサービスです。組織のデバイスやサービスを、プライベートなピアツーピアネットワークで接続します。
脆弱性はTailwormと名付けられ、Cyberdione Labsのレポートで解説されています。レポートは11件の発見事項を挙げており、影響を受けるのはTailscaleクライアントのバージョン1.104.2と、組織が自前でホストできるオープンソースのコントロールサーバーheadscaleのバージョン0.29.5です。
Cyberdione Labsはパッチが提供される前にレポートを公開しました。このためソーシャルメディア上で批判を受けましたが、研究者側は、迅速に周知すれば対策も早く進むと主張しています。
発見事項のうち6件は重大度が「高」と評価されています。そのうち4件が、パスワードや鍵ではなくデバイスIDとネットワークポリシーに基づいてアクセスを許可するTailscale SSHに関するものです。
Tailworm のレポートによると、Tailscale SSHは一部の転送処理をroot権限で実行しています。その制限を目的とした保護機能は、回避できるといいます。
1台のデバイスを侵害した攻撃者は、そのデバイスがTailscale SSH経由で到達を許可されている任意のサーバーに対し、アクセスルールが転送を認めている限り、この欠陥を悪用できます。ラボでのテストでは、標的サーバーのroot権限の取得や、ネットワークに不正なデバイスを追加できる鍵の窃取に成功しました。
最初の足がかりは、フィッシング、脆弱なWebアプリケーション、悪意あるソフトウェアパッケージといった一般的な手口で得られる可能性があります。
研究者は、これらのSSHの欠陥がワーム化可能であることも示しました。ユーザーの認証情報は不要なため、これらのバグを連鎖させた自動攻撃は、ポリシーでSSHアクセスが許可されたすべてのサーバーを、ユーザーの操作なしに、1ホップあたり1秒未満で次々と渡り歩きました。
レポートはさらに、実験的なアプリコネクタ機能、Serve機能、headscale、クライアントのリレーコンポーネントにも欠陥があると説明しています。これらを悪用すると、アクセスルールを回避してクラウドのメタデータサービスや内部ネットワークに到達したり、ノードの管理インターフェースをリモートのピアに公開したり、サービス拒否（DoS）状態を引き起こしたりする恐れがあります。
修正は間近とTailscale
TailscaleのエンジニアリングVPであるMike Shaver氏は、Redditで応答し、レポートが届いた時点で、同社はすでに外部のセキュリティ専門家の協力を得て独自の調査を進めていたと述べました。
「これまでに特定した問題の大半は、接続を許可された後に何が起きるか、特にUnix権限とSSH転送の扱いに関するものです。場合によっては、セッションが、設定されたローカルユーザーに許されるはずの範囲を超えた操作をできることがあります」とShaver氏は説明しています。
同氏は「深刻な懸念ではありますが、未認証の攻撃者が任意のマシンに接続できる状況とは異なります。ただし、影響の程度はSSHアクセスの設定次第です」と付け加えました。
月曜日に共有された最新情報で、Tailscaleは、問題の大半について修正が用意できており、テストの結果次第で、10月27日（火）中にパッチ適用済みのクライアントを公開する予定だと明らかにしました。更新の公開後に、セキュリティアドバイザリと技術的な詳細解説を公開するとしています。
火曜日に更新されたTailworm のレポートによると、複数の発見事項に対する修正は、Tailscaleの公開コードリポジトリに反映されています。ただし、その時点で番号付きリリースに含まれていたものはありませんでした。
同社は「現時点の評価に基づくと、Tailscale SSHを全員が無効にすることは推奨していません」としています。
パッチが提供されるまでの間、Tailscaleは組織に対し、SSHアクセスポリシーを見直し、不要なSSH転送を無効にするよう勧めています。これにより、より深刻な発見事項のいくつかを緩和できるといいます。
TailscaleもTailworm のレポートも、実環境での悪用には言及していません。
