Questo post é stato letto 120 volte!
Una recente ricerca ha rivelato 11 vulnerabilità, denominate Tailworm, che potrebbero consentire l'accesso root ai server e la propagazione automatica all'interno di una rete Tailscale. Nonostante la gravità apparente, la situazione tecnica è meno catastrofica di quanto possa sembrare.
Le scoperte, pubblicate da Erica Windisch di Cyberdione Labs, sono state verificate in laboratorio su Tailscale 1.104.2 e headscale 0.29.5. Tailscale è una soluzione VPN mesh basata su WireGuard che connette dispositivi e server tramite una rete privata cifrata, mentre headscale è un'implementazione open source del server di controllo.
La natura delle vulnerabilità Tailworm
È fondamentale chiarire che Tailworm non permette a un aggressore esterno di accedere a una rete Tailscale e ottenere automaticamente privilegi root sui server senza autenticazione. Le vulnerabilità più serie presuppongono che l'attaccante abbia già compromesso un dispositivo all'interno della rete o disponga di un'identità autorizzata. Inoltre, per sfruttare la catena principale relativa a Tailscale SSH, le policy devono consentire al nodo sorgente di aprire una sessione SSH verso il sistema bersaglio.
Il problema non risiede nella rottura di WireGuard o nella decifrazione delle chiavi, ma piuttosto in ciò che una macchina già legittimamente all'interno della rete può fare.
Da utente a root: il rischio maggiore
Una delle scoperte più preoccupanti riguarda l'inoltro verso Unix domain socket. Il servizio `tailscaled` opera con privilegi elevati per gestire il networking e il routing. La ricerca Tailworm indica che specifiche operazioni di inoltro possono sfruttare questo daemon privilegiato per accedere a socket che un utente di sessione SSH non dovrebbe raggiungere. Su Linux, alcuni socket, come `/var/run/docker.sock`, concedono capacità amministrative, permettendo a un attaccante di creare container privilegiati e ottenere rapidamente privilegi equivalenti a root.
Tailscale aveva già corretto una vulnerabilità simile nel giugno 2023, ma la ricerca Tailworm suggerisce l'esistenza di ulteriori metodi per aggirare le protezioni.
Come mitigare il rischio Tailworm
Per ridurre il rischio, è consigliabile disabilitare Tailscale SSH se non è indispensabile. Se attivo, è fondamentale assicurarsi di avere un metodo alternativo per l'amministrazione remota. Per isolare un nodo dalle connessioni in ingresso, si può utilizzare un comando specifico che permette al dispositivo di iniziare connessioni ma non di accettarle. Chi deve mantenere Tailscale SSH dovrebbe rivedere attentamente le Access Controls, eliminando regole che consentono connessioni indiscriminate tra dispositivi e server, promuovendo una segmentazione della rete.
L'utilizzo della modalità "check" per Tailscale SSH, disponibile nei piani Premium ed Enterprise, richiede una riautenticazione per ogni sessione SSH, aggiungendo un ulteriore livello di sicurezza. Questo non corregge vulnerabilità post-autenticazione, ma rende più difficile lo sfruttamento automatico di credenziali compromesse.
Il rischio reale di Tailworm non è una vulnerabilità che apre Tailscale a Internet, ma piuttosto la capacità di un endpoint già compromesso di diventare molto più pericoloso se le policy concedono accesso SSH a numerosi server e una vulnerabilità permette l'escalation dei privilegi. Una rete ben segmentata può contenere la propagazione, mentre una rete con fiducia reciproca tra gli host è più vulnerabile. L'adozione di un modello Zero Trust richiede policy rigorose che evitino la creazione di una rete interna dove ogni host si fida automaticamente degli altri.
Questo post é stato letto 120 volte!