Ungepatchte SSH-Schwachstellen in Tailscale ermöglichen es einem kompromittierten Gerät, Root-Zugriff im gesamten Netzwerk zu verbreiten

Eine Sicherheitsforscherin hat 11 Schwachstellen in Tailscale SSH offengelegt, die es einem einzigen kompromittierten Gerät ermöglichen könnten, Root-Zugriff auf alle anderen Server zu erlangen, die es im Unternehmensnetzwerk erreichen kann. Die Ergebnisse wurden am 25. Oktober von Erica Windisch von Cyberdione Labs in einem Bericht namens Tailworm veröffentlicht und betreffen jede Organisation, die Tailscale SSH mit aktiviertem Port-Forwarding einsetzt.

Tailscale ist ein weit verbreitetes Overlay-VPN-Tool, das private Netzwerke namens «tailnets» erstellt, die Geräte über Cloud-Anbieter, Rechenzentren und Remote-Workstations hinweg verbindet. Die integrierte SSH-Funktion soll die herkömmliche SSH-Schlüsselverwaltung ersetzen.

Was die Schwachstellen ermöglichen

Der Bericht demonstriert drei Hauptangriffsvektoren: Zugriff auf root-exklusive System-Sockets, Ersetzen von root-eigenen Sockets zur beliebigen Befehlsausführung, und Erfassen eines Geräte-Registrierungsschlüssels über eine Race Condition. In Netzwerken ohne Tailnet Lock erlaubt dieser dritte Vektor dem Angreifer, eine neue Maschine als vertrauenswürdigen Server stillschweigend zum Netzwerk hinzuzufügen.

Eine weitere Schwachstelle betrifft die experimentelle app-connector-Funktion, die nicht genehmigte Ziele erreichen kann, darunter Cloud-Metadatendienste — dieselben Endpunkte, die bei großen Cloud-Credential-Diebstahlangriffen missbraucht wurden.

Höhere Gefährdung für Headscale-Nutzer

Organisationen, die Headscale 0.29.5 betreiben — die Open-Source-Alternative zum Tailscale-Koordinationsserver — befinden sich in besonders exponierter Lage. Anders als beim gehosteten Dienst bietet Headscale keine regelbasierte Option zum Deaktivieren des SSH-Port-Forwardings. Windisch erklärt, dass bei Headscale-Deployments jede SSH-Zugriffsberechtigung derzeit als effektiver Root-Zugriff auf das Zielgerät betrachtet werden sollte.

Kein Patch, kein CVE

Zum Zeitpunkt der Veröffentlichung hat Tailscale keinen Patch, keine CVE und kein Sicherheitsbulletin herausgegeben. Der VP Engineering des Unternehmens bestätigte den Eingang von Windischs Bericht und erklärte, dass Tailscale dieselben Bereiche bereits untersucht habe.

Gegenmaßnahmen bis ein Patch verfügbar ist

Windisch empfiehlt mehrere sofortige Maßnahmen: SSH-Zugriffsregeln als Einzelgerät-zu-Einzelziel-Paare schreiben; SSH-Port-Forwarding wo möglich deaktivieren; app-connector-Berechtigungen von Geräten entfernen, die sie nicht benötigen; und den Node-Key-Ablauf aktivieren. Bei Verdacht auf Kompromittierung eines Geräts ist die richtige Reaktion dessen Löschung auf Kontrollebene — nicht nur Reimaging, da kopierte Schlüssel weiterhin gültig blieben.

Forschung von Erica Windisch, Cyberdione Labs, erstmals berichtet von The Hacker News.