Une connexion SSH pouvait être parfaitement autorisée et donner malgré tout accès à des fonctions réservées aux administrateurs. D'autres failles exposaient les services partagés ou risquaient d'interrompre toutes les connexions d'un serveur.
Quelques jours après la publication du rapport Tailworm d'Erica Windisch, Tailscale a déployé la version 1.104.4 de son client. Les travaux de la chercheuse avaient montré comment un appareil déjà compromis pouvait servir à obtenir les droits administrateur sur d'autres serveurs auxquels les règles du réseau autorisaient les connexions SSH. Quatre bulletins de sécurité détaillent désormais les vulnérabilités confirmées, leurs conditions d'exploitation et les modifications apportées au logiciel.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Des privilèges root aux connexions interrompues
Le correctif le plus important concerne les redirections de Tailscale SSH. Jusqu'ici, le processus tailscaled les exécutait avec les privilèges root du système, même lorsque le compte connecté disposait de droits bien plus limités. Depuis la version 1.104.4, ces opérations respectent les permissions de ce compte, empêchant ainsi d'accéder, par ce moyen, à des ressources réservées aux administrateurs.
Cette mauvaise séparation des privilèges concernait aussi Tailscale Serve, qui permet de partager des applications et des services locaux sur le réseau privé. Dans certaines configurations, une vérification insuffisante des sockets Unix pouvait exposer l'API d'administration locale du logiciel à des utilisateurs distants, jusqu'à permettre une prise de contrôle complète du serveur. Une autre faille touchait les connexions HTTP/2 : les autorisations destinées à une application pouvaient être transmises à une autre, donnant potentiellement accès à des ressources protégées. Les correctifs renforcent les vérifications des destinations et associent désormais les autorisations à chaque requête.
Une session SSH pouvait également servir à paralyser le réseau sans chercher à obtenir davantage de droits. En envoyant continuellement certains messages, une personne disposant déjà d'un accès pouvait saturer progressivement la mémoire de tailscaled, jusqu'à provoquer son arrêt et interrompre toutes les connexions Tailscale du serveur. La nouvelle version limite désormais la mémoire consommée par chaque session et libère les ressources correspondantes dès sa fermeture.
La version 1.104.4 à installer sans attendre
Les administrateurs utilisant Tailscale SSH ou Tailscale Serve doivent mettre à jour les machines concernées vers la version 1.104.4, ou une version ultérieure. Chaque serveur vulnérable doit recevoir le correctif, une mise à jour du seul poste depuis lequel on s'y connecte ne protégeant pas les autres machines du réseau.
Il est également nécessaire de revoir les règles d'accès SSH pour limiter les connexions aux comptes et appareils qui en ont réellement besoin. Sur les serveurs sensibles, le mode SSH check permet d'exiger une authentification supplémentaire avant l'ouverture d'une session, afin de réduire les possibilités d'exploitation depuis un appareil compromis.
Si une mise à jour immédiate est impossible, la désactivation des redirections SSH permet de bloquer temporairement plusieurs techniques d'exploitation. Pour cela, il suffit d'ajouter la variable TS_SSH_DISABLE_FORWARDING=1 à l'environnement du service tailscaled, puis de le redémarrer. Les connexions SSH demeurent possibles, mais les redirections ne fonctionnent plus. Cette mesure ne protège toutefois pas contre toutes les vulnérabilités identifiées, notamment celles qui touchent Tailscale Serve et la gestion de la mémoire. Elle ne remplace donc pas l'installation des correctifs.
- Installation rapide
- Connexion sécurisée
- Gestion multiplateforme
