Tailscale 1.104.4 popravlja root rizike u SSH prosleđivanju
Tailscale je objavio verziju 1.104.4 sa četiri bezbednosna biltena, TS-2026-014 do TS-2026-017, koji obuhvataju propuste u Tailscale SSH-u, funkcijama serve i TLS montiranjima. Najvažniji nalaz odnosi se na prosleđivanje Unix socketa: napadač koji već kontroliše uređaj kome mrežna politika dozvoljava SSH sesiju sa uključenim prosleđivanjem mogao je da dosegne servise i datoteke rezervisane za root korisnika.
Prosleđivanje je radilo sa root ovlašćenjima
Tailscale SSH ne donosi odluku o pristupu lozinkom ili SSH ključem, već identitetom uređaja i pravilima mrežne politike. Zato za opisani napad nisu bile potrebne ukradene korisničke akreditacije, ali je bio potreban početni pristup uređaju kojem politika već dozvoljava vezu ka ciljnom serveru.
Problem je nastajao kada je odobrena SSH sesija prosleđivala konekciju ka Unix socketu na serveru. Proces tailscaled proveravao je putanju, a zatim je operaciju izvršavao sa root privilegijama. Vremenski usklađenom zamenom putanje bilo je moguće zaobići tu proveru i preusmeriti konekciju na drugi socket.
Erica Windisch iz Cyberdione Labs testirala je prijavljeni lanac u laboratoriji na objavljenim verzijama Tailscale klijenta i samostalno hostovanog kontrolnog servera headscale. U njenom testu je prosleđivanje ka Docker socketu dovelo do root ljuske i čitanja datoteke /etc/shadow. Tailscale je opseg opisao uže: dozvoljena sesija mogla je da pristupi socketima dostupnim samo rootu, uključujući Docker socket i lokalni tailscaled API.
Šta donosi verzija 1.104.4
U novoj verziji Tailscale SSH prosleđivanje obavlja kao prijavljeni korisnik, umesto kao root, i oslanja se na dozvole koje sprovodi operativni sistem umesto na raniju proveru putanje. TS-2026-015 opisuje mogućnost iscrpljivanja memorije i rušenja Tailscale procesa, čime se prekida Tailscale umrežavanje na čvoru.
Bilten TS-2026-016 pokriva propust u tailscale serve gde je prosleđivanje ka Unix socketu moglo da dosegne lokalni tailscaled API i omogući udaljenu kontrolu čvora, uz povezani problem zamene socketa. TS-2026-017 se odnosi na TLS serve sa dva ili više montiranja, pri čemu je jedan zahtev mogao da dobije zaglavlja dozvola drugog montiranja.
Prioriteti za administratore
Korisnici Tailscale SSH-a treba da pređu na verziju 1.104.4 ili noviju. Dok ažuriranje servera nije moguće, promenljiva okruženja TS_SSH_DISABLE_FORWARDING=1 u servisu tailscaled, uz ponovno pokretanje servisa, isključuje prosleđivanje bez gašenja Tailscale SSH-a i blokira više ozbiljnijih nalaza.
SSH pravila treba pregledati tako da pristup imaju samo neophodni korisnici i uređaji. SSH check mode traži novu prijavu korisnika pre početka sesije, ali ne zaustavlja ovaj tip prosleđivanja unutar već odobrene sesije. Ako postoji sumnja da je uređaj kompromitovan, samo reinstaliranje nije dovoljno: njegov ključ ostaje važeći dok se uređaj ne obriše sa kontrolne ravni.
Za headscale je potreban dodatni oprez, jer se SSH prosleđivanje odobrava u svakoj prihvaćenoj sesiji i ne može se isključiti pravilima; verzija 0.29.5 ne rešava prijavljene probleme. Rizik je srodan situacijama u kojima eksploatacija CVE-2026-80521 u Ubuntu kontejnerima pokazuje kako put od ograničenog pristupa do root ovlašćenja može zahvatiti celu infrastrukturu.
Praktični zaključak je da ažuriranje mora pratiti provera svih dozvoljenih SSH veza, opoziv identiteta kompromitovanih uređaja i strogo ograničavanje prosleđivanja tamo gde ono nije neophodno za poslovni rad.