Fallos SSH sin parchear en Tailscale permiten a un dispositivo comprometido propagarse con acceso root por toda la red

Una investigadora de seguridad ha revelado 11 vulnerabilidades en Tailscale SSH que podrían permitir que un único dispositivo comprometido obtenga acceso root en todos los servidores que alcanza dentro de una red corporativa. Los hallazgos, publicados el 25 de octubre por Erica Windisch de Cyberdione Labs en un informe denominado Tailworm, afectan a cualquier organización que use Tailscale SSH con port forwarding habilitado.

Tailscale es una herramienta VPN de superposición ampliamente utilizada que crea redes privadas llamadas «tailnets» que conectan dispositivos entre proveedores de nube, centros de datos y estaciones de trabajo remotas. Su función SSH integrada está diseñada para reemplazar la gestión tradicional de claves SSH.

Qué permiten los fallos

El informe demuestra tres vectores de ataque principales: acceso a sockets de sistema exclusivos de root, sustitución de sockets propiedad de root para ejecutar comandos arbitrarios, y captura de una clave de registro de dispositivo mediante una condición de carrera. En redes sin Tailnet Lock, este tercer vector permite al atacante añadir silenciosamente una nueva máquina a la red como servidor de confianza.

También se identificó una vulnerabilidad en la función experimental de app-connector que puede alcanzar destinos no aprobados, incluidos los servicios de metadatos de la nube — los mismos endpoints abusados en importantes robos de credenciales en la nube.

Mayor exposición para usuarios de Headscale

Las organizaciones que ejecutan Headscale 0.29.5 — la alternativa de servidor de coordinación autoalojada — están en una posición especialmente expuesta. A diferencia del servicio alojado, Headscale no tiene opción para deshabilitar el port forwarding SSH por regla. Windisch indica que en despliegues de Headscale, cada concesión de acceso SSH debe tratarse actualmente como acceso root efectivo al servidor objetivo.

Sin parche, sin CVE

Al momento de la publicación, Tailscale no ha emitido ningún parche, CVE ni boletín de seguridad. El VP de ingeniería de la empresa confirmó haber recibido el informe de Windisch y señaló que Tailscale ya estaba examinando estas áreas.

Mitigaciones hasta que llegue un parche

Windisch recomienda varias medidas inmediatas: escribir reglas de acceso SSH como pares único dispositivo-destino; deshabilitar el port forwarding SSH donde sea posible; eliminar los permisos de app-connector de dispositivos que no los necesiten; y activar la expiración de claves de nodo. Si un dispositivo se sospecha comprometido, la respuesta correcta es eliminarlo en el plano de control — no solo reimaginarlo, ya que las claves copiadas seguirían siendo válidas.

Investigación de Erica Windisch de Cyberdione Labs, publicada originalmente por The Hacker News.