Tailscale SSHに未修正の欠陥、乗っ取った1台から他サーバーのrootへ

報告書は10月22〜24日にラボ環境で、未改変のリリース版を使って再現したとしている。最も重大なのはtailscaledに組み込まれたSSHサーバー（root権限で動作）のUnixソケット転送（ssh -R / -L）で、パス確認やファイル操作がroot権限のまま行われ、競合状態や権限降格の欠如により、一般ユーザーのセッションから特権リソースの置き換えや削除ができるという。条件は承認済みデバイス1台の掌握とSSHポリシールールで、インターネットから直接狙えるRCEではなく横展開の問題になる。ほかに、実験的なApp Connector（conn25）で宛先が検証されずクラウドのメタデータやKubernetes内部サービスに届く問題、セルフホストのheadscaleに対する未認証のリソース枯渇、悪意あるDERPリレーによるクライアントのメモリ枯渇、tailscale serveのUnixソケット転送で管理APIが露出する問題が挙げられている。The Hacker Newsによると、10月25日時点でTailscaleはセキュリティ情報・CVE・修正版を出しておらず、報告を受けて修正を進めているとしている。報告書側は、送信元と宛先を絞ったSSHルールでラボ内の伝播が止まったとし、修正版が出るまではSSHの転送の無効化、SSH許可範囲の限定、不要なApp ConnectorやUnixソケット転送の削除を勧めている。