Cảnh báo: Lỗ hổng chưa có bản vá trên Tailscale SSH cho phép chiếm quyền root từ xa

Một báo cáo bảo mật mới đây từ Cyberdione Labs đã cảnh báo về một chuỗi lỗ hổng trong Tailscale SSH, cho phép kẻ tấn công đã chiếm quyền điều khiển một thiết bị trong mạng có thể leo thang đặc quyền lên quyền root trên các server mục tiêu khác.

Nghiên cứu mang tên “Tailworm” do chuyên gia Erica Windisch thực hiện, tập trung vào phiên bản Tailscale 1.104.2 và headscale 0.29.5. Theo đó, cuộc tấn công yêu cầu hai điều kiện: Tailscale SSH phải được cấu hình cho phép port forwarding và kẻ tấn công đã có sẵn quyền truy cập vào một thiết bị trong mạng lưới.

Cơ chế tấn công “wormable”

Khác với SSH truyền thống, Tailscale SSH xác thực dựa trên định danh thiết bị thay vì mật khẩu hay khóa SSH thông thường. Khi một thiết bị bị chiếm quyền (thông qua phishing, malware hoặc các lỗ hổng ứng dụng web), kẻ tấn công có thể lợi dụng tính năng port forwarding để tương tác với các socket hệ thống vốn chỉ dành cho quyền root. Các thử nghiệm trong phòng thí nghiệm cho thấy kẻ tấn công có thể đọc file mật khẩu hệ thống, thực thi lệnh trực tiếp hoặc vượt qua các kiểm tra bảo mật bằng kỹ thuật race condition.

Đáng chú ý, báo cáo mô tả khả năng tấn công này là “wormable” (có khả năng tự lan truyền như sâu máy tính), cho phép kẻ tấn công di chuyển ngang (lateral movement) qua toàn bộ mạng lưới với tốc độ cao nếu các quy tắc truy cập (access rules) không được thiết lập chặt chẽ.

Phản hồi từ Tailscale

Hiện tại, Tailscale chưa phát hành bản vá hay mã định danh CVE cho các phát hiện này. Mike Shaver, Phó chủ tịch kỹ thuật của Tailscale, xác nhận công ty đã nhận được báo cáo và đang phối hợp với các chuyên gia bảo mật để xử lý. Tailscale hiện không khuyến nghị người dùng vô hiệu hóa hoàn toàn tính năng SSH, nhưng đang xem xét các cấu hình bị ảnh hưởng.

Các biện pháp giảm thiểu rủi ro

Trong khi chờ đợi bản cập nhật chính thức, quản trị viên hệ thống được khuyến cáo thực hiện các bước sau:

• Siết chặt quy tắc truy cập: Thiết lập các quy tắc theo cặp (source-to-destination) cụ thể thay vì sử dụng các quy tắc diện rộng dựa trên tag hoặc danh tính.
• Vô hiệu hóa port forwarding: Tắt tính năng này trên các quy tắc SSH nếu không thực sự cần thiết. Lưu ý rằng trên headscale 0.29.5, tính năng này không thể tắt, do đó cần coi mọi quyền truy cập SSH là rủi ro cao.
• Quản lý quyền hạn: Thu hồi quyền app connector trên các thiết bị không cần thiết và loại bỏ các cấu hình serve forward trỏ đến Unix socket.
• Tăng cường bảo mật thiết bị: Kích hoạt tính năng hết hạn khóa node (node-key expiry) và xóa bỏ các thiết bị bị nghi ngờ nhiễm độc khỏi control plane ngay lập tức.
• Sử dụng Tailnet Lock: Kích hoạt tính năng này để ngăn chặn việc kẻ tấn công sử dụng các khóa bị đánh cắp để gia nhập mạng lưới trái phép.

Ngoài vấn đề về SSH, báo cáo còn đề cập đến 10 lỗ hổng khác liên quan đến tính năng app connector và serve feature, vốn có thể cho phép kẻ tấn công truy cập vào các metadata service của nhà cung cấp cloud để đánh cắp thông tin xác thực.

Nguồn tham khảo: The Hacker News