Report Details möglich Root-Klettern mit Tallscale SSH im Labor

Ein Sicherheitsforscher veröffentlichte diese Woche einen Bericht, in dem beschrieben wird, wie in einem Labor ein Gerät, das bereits in einem Tailscale-Netzwerk gesteuert wurde, verwendet werden kann, um Zugriff mit Root-Privilegien auf andere Geräte zu erhalten, die das Netzwerk erreichen kann. Die am 25. Oktober unter dem Namen "Tailworm" von Erica Windisch von Cyberdione Labs veröffentlichte Arbeit dokumentiert Beweise gegen Tailscale 1.104.2 und Headscale 0.29.5 in einer Laborumgebung für mehrere Tage. Laut dem Bericht benötigt die Angriffskette zwei spezifische Bedingungen: dass das Netzwerk Tailscale SSH mit der Umladung von aktivierten Ports nutzt und dass der Angreifer bereits die Kontrolle über einen Host hat, den die Tailnet-Zugriffsregeln für die Verbindung zum Ziel autorisieren.

Konfirmierte Fakten: Windish veröffentlichte einen technischen Bericht und testete die oben genannten Laborversionen; Tailscale hat öffentlich anerkannten Eingang des Berichts und sagte, er arbeitet mit externen Spezialisten; und, wie die Veröffentlichung des Berichts, gab es keine Sicherheitsbulletin, öffentliche CVE und eine parcheed Version zur Verfügung. Darüber hinaus unterscheidet sich das Verhalten von Tallscale SSH von der eines traditionellen SSH-Servers: Die Berechtigung basiert auf der Identität des Geräts und der Zugriffsregeln auf der Tallnet-Ebene, nicht auf der direkten Überprüfung von Passwörtern oder Schlüsseln durch den Remote-Server - dies ist der Schlüssel zu verstehen, warum die Technik keine gestohlenen Anmeldeinformationen benötigt, um voranzukommen.

Wie die beschriebenen Kletter- und Spreizarbeiten technisch: Tallscale SSH ermöglicht unter anderem die Umladung von Steckdosen und Ports. In Windish's Tests startete ein "normaler" SSH-Tunnel Verbindungen von einem Tallscale-Prozess, der als root auf Systemsteckdosen läuft, die nur von root zugänglich sein sollten; durch Manipulation dieser Kanäle wurden sensible Dateien wie / etc / Schatten oder Befehlsausführung mit Root-Privilegium erhalten. Der Bericht dokumentiert auch Varianten: Ersetzen einer wurzelbesetzten Steckdose durch eine vom Angreifer kontrollierte, um Befehle auszuführen, und eine Karrierebedingung (TOCTOU), die eine vorbeugende Überprüfung des Dateizugriffs eluierte. Im Labor erfasste diese Kette weiterhin einen Schlüsselrollenschlüssel, der verwendet wurde, um neue Knoten in das Tallnet einzubinden und in Umgebungen ohne aktivierten Tallnet Lock-Schutz einen Angreifer-Host als zuverlässigen Server hinzuzufügen.

Einschränkungen und noch unsichere Aspekte: Alle beschriebenen Tests wurden in einem kontrollierten Labor durchgeführt; es gibt keine unabhängige öffentliche Reproduktion oder bestätigte Fälle in produktiven Netzwerken zum Zeitpunkt des Berichts. Tailscale hat gesagt, dass sie untersuchen, welche spezifischen Konfigurationen verwundbar sind; daher hängt die Extrapolation auf tatsächliche Bereitstellungen davon ab, wie jedes Netzwerk konfiguriert ist (Regeln, Verwendung von Tailnet Lock oder das Vorhandensein von Schlüsseln, die an sichere Hardware wie TPM gebunden sind). Einige Leser und Kollegen haben in Frage gestellt, ob das "wurmbare" Etikett außerhalb der Laborbedingungen angebracht ist; andere betrachten die Möglichkeit, sich als ernsthafte Entdeckung zu verwurzeln. Es ist wichtig, zwischen kontrollierten Demonstrationen und Ereignissen in Produktionsumgebungen zu unterscheiden.

Wer ist gefährdet: Netzwerke, die Tailscale SSH mit Port Reshipment nutzen und Geräte mit geringer Zugriffsseigerung ermöglichen, sensible Systeme zu erreichen, sind am meisten exponiert. Es gibt einen wichtigen operativen Unterschied: In dem von Tallscale gehosteten Dienst können Sie das Reshipment in der Regel deaktivieren; in Headscale 0.29.5 gibt es nach dem Bericht keine Möglichkeit, das Reshipment zu deaktivieren, so dass jede SSH-Konzession in dieser Software als gleichwertig angesehen werden sollte, um Wurzel im Zielhost zu geben, bis es ein Patch gibt.

Praktische Auswirkungen: wenn die Bedienkette in realen Umgebungen gespielt wird, könnte ein Angreifer mit einer einzigen Maschine, die die Tailnet-Richtlinie ermöglicht, mit anderen Geräten zu verbinden, ohne Passwörter oder Schlüssel zu stehlen, Root-Privilegien zu erhalten und möglicherweise diese Kapazität seitlich zu allen Systemen zu bewegen, die durch die Regeln erlaubt sind. Im Labor wurde die Ausbreitung mit "Maschinengeschwindigkeit" gemessen (jeweils in weniger als einer Sekunde), aber diese Metrik kann in realen Umgebungen durch zusätzliche Kontrollen, restriktivere Regeln oder Hardware-Schutz variieren.

Konkrete und unmittelbare Maßnahmen von Managern: Neubewertungen und Handlungen - die folgenden Handlungen basieren auf dem Bericht und dem öffentlichen Leitfaden der Tailscale über die SSH.

(1) Überprüfung und Einschränkung der Zugangsregeln: SSH-Regeln in fuent- explizite Zielpaare (ein einzelnes Gerät → ein einziges Ziel) umwandeln und breite Regeln durch Identität oder Tags entfernen. Der Bericht weist darauf hin, dass die als Einheitspaare formulierten Regeln die Kontrolle waren, die die Kette in Beweisen aufhielt.

2) Portweiterleitung / Unix Steckdosen soweit möglich deaktivieren: in der Tallscale Hosted Service kann das Reshipment in der Regel deaktiviert werden; wenn Sie Headscale 0.29.5 verwenden, müssen Sie annehmen, dass die Reshipment zur Verfügung steht und jede SSH Genehmigung als Wurzeläquivalent behandelt, bis eine korrigierte Version existiert.

3) Entfernen Sie unnötige App-Steckverbinder und dienen vorwärts: experimentelle Konnektoren, die es erlauben, willkürlichen Verkehr an nicht zugelassene Zielorte zu senden (z.B. Metadaten in Cloud-Lieferanten), erweitern das Risiko; entfernen Sie diese Genehmigungen an Geräte, die sie nicht benötigen, reduzieren Missbrauchsvektoren. Vermeiden Sie Reshipments, die auf Unix Steckdosen auf der Maschine zeigen.

4) Aktivieren Sie den Ablauf von Knoten-Tasten und verwenden Sie Tailnet Lock: Konfigurieren Sie den Knotenschlüssel Ablauf, um das Fenster der Verwendung von kompromittierten und aktiven Tailnet Lock Schlüsseln zu begrenzen, wenn Ihre Organisation es unterstützt; in den Tests die Abwesenheit von Tailnet Lock erlaubte den letzten Schritt der Einarbeitung eines angreifenden Knotens.

5) Antwort auf das Engagement: Wenn Sie eine kompromittierte Ausrüstung erkennen, löschen Sie sie aus der Tailnet-Steuerungsebene; das Reimaginieren des Hosts nicht ungültige Schlüssel, die bereits kopiert wurden. Betrachten Sie die Rotation der Schraubenschlüssel und die forensische Überprüfung der Token, die möglicherweise ausgefiltert worden sind.

6) Zusätzliche Minderung und Überwachung: Aktivieren Sie den "SSH-Check-Modus" (ein Login-Schritt vor der Sitzung) und automatische Updates; beachten Sie, dass der Verifikationsmodus eine zusätzliche Barriere hinzufügt, aber nach dem Bericht die oben beschriebenen Privilegien nicht korrigiert.

Für technische Details, wie Tallscale SSH implementiert und welche Konfigurationsoptionen existieren, siehe offizielle Dokumentation: Tallscale SSH Dokumentation. Wenn Sie Headscale verwenden, überprüfen Sie das Repository und Projekthinweise, um Einschränkungen von selbstgehosteten Versionen zu verstehen: Kopfbedeckungen in GitHub.

Was in den nächsten Wochen erwartet: Tallscale wird wahrscheinlich eine formale Kommunikation, eine CVE oder eine parched Version veröffentlichen, sobald sie genau feststellt, welche Konfigurationen betroffen sind und wie sie ohne Deployment zu beheben. Bis dahin sind Konfigurationssteuerungen und eine Minimierung die effektivsten Werkzeuge. Organisationen mit robusten Sicherheitskontrollen (Netzwerk-Segregation, Hardware-gebundene Schlüssel, Regeln pro Ziel) werden besser platziert, um das Risiko zu mindern; diejenigen, die Headscale ohne die Möglichkeit der Deaktivierung von Reshipment verwenden, sollten die Expositionsbewertung priorisieren.

Schließlich sei daran erinnert, dass die beschriebenen Ergebnisse von Labortests durch einen Forscher stammen und dass, obwohl die Techniken technisch plausibel sind und das Finden von Wurzelklettern relevant ist, das Vorhandensein von Ausbeutung in realen Umgebungen nicht öffentlich bestätigt wird. Seien Sie proaktiv: reduzieren Sie die Angriffsfläche jetzt und bereiten Sie sich darauf vor, offizielle Patches anzuwenden, wenn verfügbar.