Tailscale vá lỗ hổng SSH nghiêm trọng: Nguy cơ leo thang đặc quyền root trên server

Tailscale đã chính thức phát hành phiên bản 1.104.4 để xử lý các lỗ hổng bảo mật trong tính năng SSH tích hợp. Những lỗ hổng này có thể bị lợi dụng để truy cập trái phép vào các dịch vụ và tệp tin nhạy cảm trên máy chủ, vốn chỉ dành cho người dùng có đặc quyền root.

Chi tiết về lỗ hổng

Các lỗ hổng nằm trong cơ chế chuyển tiếp kết nối mạng (network connection forwarding) của Tailscale SSH – một tiến trình chạy với quyền root. Để khai thác, kẻ tấn công cần phải kiểm soát được một thiết bị đã được cấp quyền kết nối SSH trong chính sách truy cập của mạng đó.

Theo báo cáo từ Erica Windisch của Cyberdione Labs (được gọi là “Tailworm”), vấn đề nằm ở cách xử lý socket forwarding. Khi một phiên SSH được phép chuyển tiếp kết nối đến một Unix socket trên server, tiến trình Tailscale thực hiện kiểm tra đường dẫn nhưng sau đó lại vận hành dưới quyền root. Một kỹ thuật tinh chỉnh thời gian (timing trick) cho phép kẻ tấn công thay đổi đường dẫn sau khi kiểm tra hoàn tất, qua đó vượt qua các biện pháp bảo vệ.

Trong môi trường thử nghiệm, việc chuyển tiếp đến Docker control socket đã cho phép tạo ra một root shell và đọc tệp mật khẩu hệ thống /etc/shadow mà không cần quyền quản trị viên.

Các bản vá bảo mật

Bản cập nhật 1.104.4 thay đổi cách thức thực hiện chuyển tiếp, chuyển sang sử dụng quyền của người dùng đang đăng nhập thay vì quyền root, đồng thời dựa vào quyền truy cập tệp của hệ điều hành. Các lỗ hổng được khắc phục bao gồm:

• TS-2026-014: Lỗi socket-forwarding cho phép truy cập các socket chỉ dành cho root (như Docker socket hoặc tailscaled local API).
• TS-2026-015: Lỗ hổng cho phép kẻ tấn công làm cạn kiệt bộ nhớ server, gây crash tiến trình Tailscale.
• TS-2026-016: Lỗi trong tailscale serve cho phép chuyển tiếp Unix socket tới API cục bộ.
• TS-2026-017: Lỗi liên quan đến việc rò rỉ header quyền hạn giữa các mount trong TLS serve.

Khuyến nghị cho người dùng

Người dùng Tailscale SSH cần cập nhật lên phiên bản 1.104.4 hoặc mới hơn ngay lập tức. Trong trường hợp chưa thể cập nhật, bạn có thể vô hiệu hóa tính năng chuyển tiếp bằng cách thiết lập biến môi trường TS_SSH_DISABLE_FORWARDING=1 trong dịch vụ tailscaled và khởi động lại dịch vụ.

Ngoài ra, Tailscale khuyến nghị quản trị viên nên rà soát lại các quy tắc truy cập SSH, đảm bảo chỉ những người dùng và thiết bị thực sự cần thiết mới có quyền truy cập. Lưu ý rằng đối với người dùng headscale (phiên bản tự lưu trữ), hiện tại chưa có bản vá cho các vấn đề này, do đó cần đặc biệt thận trọng khi cấu hình chính sách truy cập.

Nguồn tham khảo: The Hacker News