Tailscale SSH : onze failles, dont une élévation de privilèges vers root

Mardi 27 octobre, Bleeping Computer a détaillé onze vulnérabilités découvertes par Cyberdione Labs. Elles touchent Tailscale, le réseau privé virtuel maillé construit sur WireGuard, et headscale, le serveur de contrôle auto-hébergé. Les chercheurs ont baptisé l’ensemble Tailworm. À cette date, l’article indiquait que ces failles n’avaient toujours pas de correctif. Nous ne disposons pas d’une seconde source indépendante : ce qui suit repose sur ce seul article, qui cite Tailscale et Cyberdione Labs.

Les versions concernées

Les chercheurs ont reproduit toutes leurs trouvailles en laboratoire, sur des versions publiées et non modifiées : Tailscale 1.104.2 et headscale 0.29.5. Ce sont les seules versions que cite la source. Elle ne donne ni la liste des versions antérieures touchées, ni le numéro des versions corrigées. En l’état, on ne peut donc pas affirmer qu’une version précise règle le problème. Cyberdione Labs dit avoir publié les détails pour accélérer la correction. Le laboratoire ajoute que ces failles ont été trouvées avec peu d’efforts.

Tailscale SSH, le point le plus grave

Le problème le plus sérieux toucherait le serveur SSH intégré à tailscaled, qui s’exécute en root. Il concerne le transfert de sockets Unix (ssh -R ou ssh -L). Les vérifications de chemin et les opérations sur les fichiers y seraient effectuées avec les droits root, sans abandon de privilèges, et seraient exposées à des situations de concurrence. Une session ordinaire pourrait alors remplacer, joindre ou supprimer des ressources privilégiées.

Les conséquences décrites sont graves : exécution de code en root sur les serveurs visés, capture de clés d’enrôlement et suppression de n’importe quel fichier appartenant à root. Il ne s’agit pas d’une attaque anonyme : l’attaquant doit disposer d’un appareil approuvé sur le tailnet et d’une règle de politique SSH. Sur headscale, le transfert serait accordé automatiquement. Sur le service hébergé de Tailscale, il dépend de chaque règle.

Tailscale confirme qu’il s’agit de problèmes sérieux, qui concernent surtout l’élévation de privilèges. Une personne déjà autorisée à se connecter en Tailscale SSH pourrait agir au-delà des droits de l’utilisateur local configuré. L’éditeur précise que l’exploitation dépend des permissions accordées, de la configuration du système et d’autres conditions. Il vérifie encore quelles configurations sont réellement touchées.

Les autres composants touchés

Le reste des failles concerne d’autres composants :

• les connecteurs d’application (conn25, expérimental) enverraient le trafic vers des destinations choisies par l’attaquant sans consulter les ACL réseau. Ils ouvriraient ainsi l’accès aux métadonnées cloud, aux réseaux internes et, sous Kubernetes, à tous les services du cluster ;
• headscale pourrait être saturé sans authentification, au point de planter en boucle et de bloquer l’ajout de nouveaux appareils ;
• le client DERP, présent dans chaque agent, pourrait voir sa mémoire épuisée par un relais malveillant ;
• dans tailscale serve, un transfert TCP vers un socket Unix n’aurait pas la protection prévue pour les requêtes HTTP. Il pourrait donner accès à l’API d’administration de la machine à distance.

Ce qu’il faut faire maintenant

Lundi, Tailscale a indiqué avoir reçu le rapport et préparer des correctifs pour la fin de la journée. L’éditeur ne recommande pas à tous ses utilisateurs de désactiver Tailscale SSH. En attendant une version corrigée, il conseille deux mesures :

• revoir les politiques d’accès SSH et les réserver aux utilisateurs et appareils qui en ont besoin ;
• si le transfert SSH ne vous sert pas, ajouter TS_SSH_DISABLE_FORWARDING=1 à l’environnement du service tailscaled, puis redémarrer le service. Le transfert est coupé, Tailscale SSH reste actif, et plusieurs failles sont atténuées.

Quand des versions corrigées de Tailscale et de headscale paraîtront, vérifiez dans leurs notes de version qu’elles corrigent bien ces failles. Installez-les d’abord sur les machines où Tailscale SSH est activé. Si votre serveur headscale est joignable depuis Internet, mettez-le aussi à jour en priorité : aucun compte ne serait nécessaire pour le faire planter.

Les correctifs dépendent des éditeurs. La variable d’environnement, vous pouvez l’ajouter dès ce soir.