Tailscale conferma di aver individuato gravi falle in Tailscale SSH, la funzione che consente di aprire sessioni SSH tra i dispositivi di una rete privata Tailscale. In una pagina di aggiornamento sull’indagine, l’azienda spiega che la maggior parte dei problemi riguarda l’escalation dei privilegi e parla di “gravi problemi di sicurezza”. Le correzioni sono pronte per gran parte delle falle e il rilascio del client aggiornato è previsto entro la fine di martedì 27 ottobre, se i test andranno a buon fine.
Cosa ha confermato Tailscale sulle falle di Tailscale SSH
Secondo l’azienda, in alcune circostanze chi è già autorizzato a collegarsi tramite Tailscale SSH potrebbe compiere azioni oltre i permessi dell’utente locale configurato, fino a ottenere potenzialmente privilegi elevati. La possibilità di sfruttare le falle dipende dai permessi concessi all’utente o al dispositivo che si collega, dalla configurazione del sistema e da altre condizioni. Tailscale sta ancora verificando la portata completa dei problemi e quali configurazioni siano coinvolte.
L’indagine, condotta con l’aiuto di specialisti esterni, segue la pubblicazione del rapporto Tailworm, in cui una ricercatrice di Cyberdione Labs ha descritto 11 presunte vulnerabilità, come avevamo raccontato nell’articolo sulle falle di Tailscale SSH segnalate da Tailworm. Come riporta The Hacker News, l’azienda non ha confermato ogni singola affermazione tecnica del rapporto.
Patch attesa, ma non ancora CVE né versioni corrette
Al momento non sono stati pubblicati né un identificativo CVE né il numero della versione corretta. Tailscale ha annunciato che, una volta disponibili le correzioni, pubblicherà un bollettino di sicurezza con le vulnerabilità confermate, le versioni e le configurazioni interessate e le istruzioni per proteggersi, seguito da un approfondimento tecnico sulle cause e sulle modifiche apportate. L’azienda aggiornerà la pagina se i tempi di rilascio dovessero cambiare.
Tailscale ribadisce inoltre che, in base alla valutazione attuale, non raccomanda a tutti di disattivare Tailscale SSH.
Cosa fare subito per proteggere Tailscale SSH
In attesa della patch, l’azienda consiglia di rivedere la configurazione di Tailscale SSH:
- Rivedere le regole di accesso SSH, limitandole agli utenti e ai dispositivi che ne hanno davvero bisogno.
- Disattivare l’inoltro SSH se non serve, impostando
TS_SSH_DISABLE_FORWARDING=1nell’ambiente del serviziotailscalede riavviandolo. Secondo Tailscale questo blocca l’inoltro senza spegnere Tailscale SSH e attenua diverse delle falle più gravi. - Restringere temporaneamente l’accesso ai sistemi sensibili, così che possano collegarsi solo utenti e dispositivi indispensabili.
- Prepararsi ad aggiornare il client non appena la versione corretta sarà disponibile, valutando gli aggiornamenti automatici.
Resta valida anche la regola generale: queste falle richiedono un punto d’appoggio iniziale su un dispositivo autorizzato. Mantenere aggiornati i server esposti, come nel caso delle recenti falle critiche di PHP, riduce il rischio che un attaccante ottenga quel primo accesso.
Perché la vicenda è importante
Tailscale è molto usato per l’accesso remoto a server, ambienti di sviluppo e reti aziendali. Una falla che permette di superare i permessi previsti dalle regole di accesso può trasformare la compromissione di un solo dispositivo in un rischio per altri sistemi della stessa rete. Per questo gli amministratori dovrebbero applicare le mitigazioni indicate senza aspettare il bollettino ufficiale.
Fonti: Tailscale, The Hacker News.
