Открити са 11 уязвимости в Tailscale и в самостоятелно хоствания контролен сървър headscale. Сред потенциалните последици са изпълнение на код с права на root, кражба на идентификационни данни, заобикаляне на ограничения за достъп и отказ на услуга. Разработчиците подготвят корекции, а до публикуването им препоръчват ограничаване на SSH достъпа и изключване на ненужното препращане на връзки.

Уязвимостите засягат различни компоненти на мрежата

Изследователите от Cyberdione Labs са открили общо 11 уязвимости, обединени под името Tailworm, при одит на Tailscale 1.104.2 и контролния сървър с отворен код headscale v0.29.5. Според екипа констатациите са възпроизведени в лабораторна среда с официално публикуваните версии на софтуера.

Tailscale използва WireGuard, за да свързва компютри, сървъри и облачни инстанции в криптирана мрежа, наречена tailnet. Това позволява на устройствата да комуникират директно или чрез междинни релета, без да е необходимо изграждането на традиционна VPN инфраструктура.

Откритите проблеми засягат няколко различни компонента: вградения SSH сървър, експерименталните приложни конектори, контролния сървър headscale, клиента за DERP релета и функцията Tailscale Serve.

Най-сериозният риск е в Tailscale SSH

Част от уязвимостите са свързани с начина, по който Tailscale SSH обработва препращането към Unix сокети. При определени условия проверки на пътища и операции с файлове се изпълняват с привилегиите на root, без достатъчно надеждно понижаване на правата. Комбинацията от състезателни условия и недостатъчни проверки може да позволи на вече оторизиран потребител да извършва действия извън правомощията на локалния си акаунт.

Според описанието на изследователите потенциалните последици включват изпълнение на код с права на root върху целевия сървър, извличане на ключове за присъединяване към мрежата и изтриване на произволни файлове с администраторски права.

Това не означава, че всеки външен нападател може непосредствено да превземе произволна машина. При този клас проблеми възможността за експлоатация зависи от предоставения достъп, конфигурацията и конкретните условия. За Tailscale SSH е необходима оторизирана връзка от устройство с подходящи права за достъп и препращане.

Риск за облачни среди и Kubernetes

Уязвимости са открити и в експерименталните приложни конектори на Tailscale. Според публикуваното описание те могат да препращат трафик към избрани от нападател дестинации, без необходимата валидация, като мрежовите правила за контрол на достъпа не се прилагат спрямо действителната крайна цел.

При определени конфигурации това може да отвори път към облачни метаданни, съдържащи чувствителна информация и идентификационни данни, както и към вътрешни мрежи. В Kubernetes среда потенциалният обхват включва услуги в клъстера.

Друг проблем засяга самостоятелно хоствания контролен сървър headscale. Неавтентикирани заявки могат да предизвикат прекомерно нарастване на използваната памет и изчерпване на ресурси. Ако сървърът е достъпен от интернет, това може да доведе до повтарящи се сривове и да блокира присъединяването на нови устройства към организацията.

Уязвимост в клиента за DERP релета позволява неограничено прочитане на отговор от злонамерено реле, което може да изчерпи паметта на клиентския процес. При Tailscale Serve са установени проблеми с препращането на TCP трафик към Unix сокет и със състезателна проверка на разрешенията. При определени условия това може да осигури отдалечен достъп до административен API на възела или да заобиколи проверките за оторизация на част от заявките.

Tailscale подготвя корекции

Tailscale потвърди, че е получило доклада на Cyberdione Labs и проверява пълния обхват на проблемите. Компанията определя констатациите като сериозни, но подчертава, че експлоатацията зависи от правата на потребителя или устройството, настройките на системата и други условия.

Към момента на публикуване на първоначалната информация екипът е заявил намерение да предостави корекции до 27 октомври 2026 г. Потребителите трябва да следят официалните съобщения и да приложат поправената версия веднага след като тя стане достъпна. Наличието на обявен срок обаче не е потвърждение, че актуализацията вече е публикувана.

Компанията не препоръчва масово изключване на Tailscale SSH. Вместо това насочва вниманието към ограничаване на достъпа и временно намаляване на риска.

Какво трябва да направят администраторите

До инсталирането на корекциите организациите, които използват Tailscale, следва да предприемат няколко практически стъпки:

• Прегледайте SSH политиките. Оставете достъп само за потребителите и устройствата, които действително се нуждаят от него.
• Изключете препращането на SSH, ако не е необходимо. Tailscale посочва настройката TS_SSH_DISABLE_FORWARDING=1 в средата на услугата tailscaled, след което услугата трябва да бъде рестартирана.
• Ограничете достъпа до чувствителни системи. Временно затегнете правилата за сървъри с административни интерфейси, критични данни или широк достъп до вътрешната мрежа.
• Проверете експерименталните конектори. Установете дали се използват и дали имат достъп до облачни метаданни, вътрешни сегменти или услуги в Kubernetes.
• Оценете изложеността на headscale. При самостоятелно хоствани инсталации проверете дали контролният сървър е достъпен от интернет и наблюдавайте за необичайно потребление на памет и повтарящи се сривове.
• Планирайте актуализацията. Инвентаризирайте използваните версии, определете отговорник и проверете след внедряването дали всички засегнати устройства и сървъри са обновени.

Tailworm показва защо защитата на VPN инфраструктурата не се изчерпва с криптирането на трафика. Контролът върху идентичностите, правилата за достъп, препращането на връзки и привилегиите на системните услуги е също толкова важен. Докато корекциите бъдат внедрени, най-разумният подход е да се намали ненужният достъп и да се подготви бързо, контролирано обновяване.