Falhas SSH não corrigidas no Tailscale permitem que um dispositivo comprometido propague acesso root por toda a rede

Uma pesquisadora de segurança revelou 11 vulnerabilidades no Tailscale SSH que podem permitir que um único dispositivo comprometido obtenha acesso root em todos os outros servidores que consegue alcançar dentro de uma rede corporativa. Os achados, publicados em 25 de outubro por Erica Windisch da Cyberdione Labs em um relatório chamado Tailworm, afetam qualquer organização que use o Tailscale SSH com port forwarding habilitado.

O Tailscale é uma ferramenta VPN de sobreposição amplamente implantada que cria redes privadas chamadas «tailnets» conectando dispositivos entre provedores de nuvem, data centers e estações de trabalho remotas. Seu recurso SSH integrado foi projetado para substituir o gerenciamento tradicional de chaves SSH.

O que as falhas permitem

O relatório demonstra três vetores de ataque principais: acesso a sockets de sistema restritos ao root, substituição de sockets pertencentes ao root para execução arbitrária de comandos, e captura de uma chave de registro de dispositivo via condição de corrida. Em redes sem Tailnet Lock, esse terceiro vetor permite ao atacante adicionar silenciosamente uma nova máquina à rede como servidor confiável.

Uma vulnerabilidade adicional afeta o recurso experimental app-connector, que pode alcançar destinos não aprovados, incluindo serviços de metadados de nuvem — os mesmos endpoints explorados em grandes ataques de roubo de credenciais na nuvem.

Maior exposição para usuários do Headscale

Organizações que executam o Headscale 0.29.5 — a alternativa open source ao servidor de coordenação do Tailscale — estão em posição particularmente exposta. Ao contrário do serviço hospedado, o Headscale não tem opção por regra para desabilitar o port forwarding SSH. Windisch indica que em implantações do Headscale, cada concessão de acesso SSH deve atualmente ser tratada como acesso root efetivo ao servidor alvo.

Sem patch, sem CVE

Até a data de publicação, o Tailscale não emitiu nenhum patch, CVE ou boletim de segurança. O VP de engenharia da empresa confirmou ter recebido o relatório de Windisch e afirmou que o Tailscale já estava examinando as mesmas áreas.

Mitigações até que um patch chegue

Windisch recomenda várias medidas imediatas: escrever regras de acesso SSH como pares de dispositivo único para alvo único; desabilitar o port forwarding SSH onde possível; remover permissões de app-connector de dispositivos que não as precisam; e ativar a expiração de chave de nó. Se um dispositivo é suspeito de comprometimento, a resposta correta é excluí-lo no plano de controle — não apenas reimaginá-lo, pois chaves copiadas permaneceriam válidas.

Pesquisa de Erica Windisch da Cyberdione Labs, reportada originalmente pelo The Hacker News.