Большинство SSH-багов в Tailscale — повышения привилегий, патч обещали 27 октября

Что Tailscale сообщила к этому моменту

В обновлении расследования от 26 октября Tailscale пишет, что большинство проблем касаются повышения привилегий: тот, кто уже авторизован для подключения через Tailscale SSH, может действовать за пределами своего настроенного локального пользователя, в том числе получить повышенные права. Эксплуатация зависит от прав, конфигурации и других условий, а полный масштаб ещё проверяется.

Исправления есть для большинства находок, их тестируют перед выпуском патченного клиента, который намечен на 27 октября при условии тестирования. До тех пор компания советует ужесточить политики доступа по SSH и, если пересылка не нужна, задать TS_SSH_DISABLE_FORWARDING=1 и перезапустить сервис. Затем выйдут рекомендация по безопасности и технический разбор.

Кто на самом деле под угрозой

Бывший сотрудник Tailscale, который сейчас администрирует Tailscale в своей организации, посмотрел исправления по мере их появления на GitHub и написал:

«Это касается только ситуаций, когда вы используете ACL, чтобы разрешить ssh на узел (через tailscale ssh, а не через opensshd), но не даёте пути к sudoers/root.»

Скептик усомнился в формулировке «большинство» проблем и «в некоторых обстоятельствах», намекнув, что полностью неавторизованное подключение тоже может расследоваться. Другой сказал, что у продукта слишком много функций, и хотел бы режим блокировки без Taildrop, Taildrive, SSH и funnel.

Владелец домашней лаборатории сказал, что перешёл на обычный WireGuard, потому что не использовал ничего из дополнительного.

Если ваши ACL дают Tailscale SSH людям, которым не положено быть root, задайте переменную пересылки сейчас и следите за рекомендацией по безопасности.