Una investigadora publica fallos sin parche en Tailscale SSH que permitirían obtener acceso root

La investigadora Erica Windisch, de Cyberdione Labs, publicó el 25 de octubre el informe «Tailworm», con 11 hallazgos de seguridad en Tailscale, un servicio de red privada muy usado para conectar servidores y equipos, y en headscale, un servidor de control autoalojado compatible. Según el informe, las pruebas se hicieron en laboratorio entre el 22 y el 24 de octubre sobre Tailscale 1.104.2 y headscale 0.29.5.

El hallazgo principal afecta al reenvío de sockets de Tailscale SSH. Según la autora, el servidor SSH de Tailscale se ejecuta como root y no rebaja privilegios al reenviar conexiones, de modo que desde un dispositivo autorizado y comprometido podría obtenerse acceso root en otro servidor si las reglas SSH permiten el reenvío. Según The Hacker News, no hace falta robar contraseñas ni claves, pero sí controlar ya un dispositivo con permiso para conectarse al objetivo.

Según The Hacker News, no hay boletín de seguridad, CVE ni versión corregida, y no se conoce explotación real; la página de boletines de Tailscale no recoge ninguno sobre este informe. El vicepresidente de Ingeniería de Tailscale, Mike Shaver, escribió en Reddit que la empresa recibió el informe, que ya revisaba esas áreas con especialistas externos y que ha encontrado problemas que trabaja en corregir, aunque no recomienda desactivar Tailscale SSH de forma general, según ese medio.

La forma de divulgación es discutida: la autora la describe como notificada pero no coordinada y dice que envió el informe a Tailscale el sábado anterior a publicarlo. Algunos investigadores cuestionan que los fallos puedan propagarse de máquina en máquina, como sugiere el nombre del informe. El informe recomienda, entre otras medidas, desactivar el reenvío en las reglas SSH y limitar los permisos por pares de dispositivos.

Los hallazgos se basan solo en el informe de la autora: ningún otro investigador los ha reproducido y Tailscale no ha confirmado los detalles técnicos, según The Hacker News. No se sabe cuándo habrá corrección.