Tailscale SSH'taki yamasız açıklar tek cihazdan diğer sunucularda root erişimi sağlayabiliyor

Bir güvenlik araştırmacısı, Tailscale SSH'ta henüz yaması bulunmayan ve bir tailnet'teki tek bir cihazı ele geçirmiş saldırganın, ağ kurallarının izin verdiği diğer sunucularda root erişimi elde etmesine yol açabilen açıklar duyurdu. The Hacker News'in 25 Ekim'de aktardığına göre Cyberdione Labs'ten Erica Windisch, Tailscale 1.104.2 ve açık kaynak kontrol sunucusu headscale 0.29.5 üzerinde üç gün süren laboratuvar testlerinin ardından bulgularını "Tailworm" adlı raporda yayımladı. Yayın tarihi itibarıyla CVE kimliği, düzeltilmiş sürüm veya güvenlik bülteni bulunmuyordu; bu nedenle şimdilik tek savunma yapılandırmayı sıkılaştırmak.

Neler oldu?

The Hacker News'e göre rapor 11 bulgu içeriyor ve SSH'ın yanı sıra uygulama bağlayıcıları (app connector), serve özelliği, DERP aktarma sunucusu ve headscale ile ilgili sorunları kapsıyor. SSH açığının istismarı için iki koşul gerekiyor: Tailscale SSH'ta port yönlendirmeye izin verilmesi ve saldırganın erişim kurallarına göre hedefe bağlanabilen bir cihazı önceden ele geçirmiş olması. Bu ilk erişim savunmasız bir web uygulaması, zararlı bir paket, oltalama ya da çalınmış kimlik bilgileri gibi olağan yollarla elde ediliyor; Tailscale bu erişimi kendisi sağlamıyor.

Yayın, raporun gerçek ağlara yönelik saldırıları değil laboratuvar ortamındaki testleri anlattığını vurguladı. Bulgular başka bir araştırmacı tarafından kamuya açık şekilde yeniden üretilmedi, Tailscale belirli teknik iddiaları doğrulamadı ve kavram kanıtı kodu yayımlanmadı.

Teknik detaylar

The Hacker News'in aktardığına göre raporda üç yöntem anlatılıyor. Birincisinde standart SSH port yönlendirmesi, root yetkisiyle çalışan Tailscale sürecinin yalnızca root'a açık bir sistem soketine bağlanmasına yol açtı ve laboratuvarda root erişimi sağladı. İkincisinde root'a ait bir soket, saldırganın kontrolündeki bir soketle değiştirildi. Üçüncüsü ise kontrol zamanı ile kullanım zamanı arasındaki bir yarış durumunu kullanarak bir kayıt anahtarını ele geçirdi ve saldırganın makinesini ağa güvenilir sunucu olarak dahil etti; bu zincir yalnızca Tailnet Lock'un etkin olmadığı ağlarda baştan sona çalıştı.

Windisch açığı "solucan gibi yayılabilir" olarak nitelendiriyor; yani ele geçirilen tek bir cihaz, kuralların izin verdiği tüm cihazlara yayılabilir. Bazı araştırmacılar bu nitelendirmeye itiraz ediyor ve yayılma yalnızca laboratuvarda ölçüldü. Windisch ayrıca deneysel conn25 özelliğini içeren uygulama bağlayıcısı bulgusunun bazı kurumlar için daha etkili olabileceğini, izinli bir kullanıcının bulut meta veri servisi gibi onaylanmamış hedeflere ulaşmasını sağlayabileceğini söyledi.

Kimler etkileniyor?

The Hacker News'e göre Tailscale'in mühendislikten sorumlu başkan yardımcısı Mike Shaver, Reddit'te şirketin raporu aldığını, aynı alanları dış uzmanlarla incelediğini ve düzeltmek için çalıştığı sorunlar bulduğunu yazdı. Shaver, hangi yapılandırmaların etkilendiğinin hâlâ belirlendiğini ve herkese Tailscale SSH'ı kapatmayı önermediklerini belirtti. Tailscale'in barındırılan hizmetinde port yönlendirme kural bazında kapatılabilirken headscale 0.29.5'te bu mümkün değil. Duyurunun kendisi de tartışmalı: Windisch süreci "bildirildi ama koordine edilmedi" diye tanımladı ve raporu yayından önceki cumartesi günü Tailscale'e gönderdiğini söyledi.

Ne yapmalı?

• SSH erişim kurallarını tek kaynak-tek hedef çiftleri olarak yazın, geniş kimlik veya etiket tabanlı izinleri kaldırın.
• Mümkünse SSH port yönlendirmesini kapatın; headscale 0.29.5'teki her SSH iznini hedefte root erişimi olarak değerlendirin.
• İhtiyacı olmayan cihazlardan uygulama bağlayıcısı izinlerini kaldırın, Unix soketine yönlenen tailscale serve tanımlarını silin.
• Tailnet Lock'u ve düğüm anahtarı süre sonunu etkinleştirin; ele geçirilen cihazları kontrol düzleminden silin, çünkü yalnızca yeniden kurulum kopyalanmış anahtarları geçersiz kılmıyor.