Tailscale: Sunucularda Root Erişimine Yol Açan SSH Açıklarını Düzeltti.

Gorsel Kaynagi: The Hacker News

Tailscale, yerleşik SSH sunucusunda, bir saldırganın yalnızca kök kullanıcının erişebileceği diğer sunuculardaki hizmetlere ve dosyalara ulaşmasına olanak tanıyan açıkları düzeltmek için 1.104.4 sürümünü yayımladı.

Açıklıklar, Tailscale SSH’nin ağ bağlantılarını ilettiği biçimde; bu görevi Tailscale arka plan süreci kök ayrıcalıklarıyla yürütüyor. Bunları kullanmak için bir saldırganın, ağın erişim kurallarının hedefe SSH oturumu açmasına ve o kuralda iletimin izin vermesine izin verdiği bir aygıta zaten sahip olması gerekiyor.

Açıklıklar, fix’ten birkaç gün önce Cyberdione Labs’ten Erica Windisch tarafından yayımlanan Tailworm adlı bir rapordan geliyor; Windisch, laboratuvarda yayınlanan Tailscale istemcisi ve kendi kendine barındırılan headscale kontrol sunucusunu test etti.

Tailscale SSH, bağlanan kişinin kimliğini ağın politika dosyasıyla kullanarak belirler; parola ya da anahtar kullanmaz, bu nedenle bir saldırganın çalıntı kimliklere değil, yalnızca politikanın zaten güvendiği bir aygıta ayak uydurması yeterlidir.

Tailscale, açıklıkların “doğrulanmamış bir saldırganın rastgele Tailscale SSH sunucularına bağlanmasına olanak vermediğini” ve bir saldırganın yalnızca politika dosyasının zaten izin verdiği makinelere ulaşabileceğini belirtti.

Tailscale SSH sunucusu yalnızca Linux ve açık kaynaklı macOS derlemesinde çalışır; saldırganın kendi aygıtı herhangi bir platform olabilir.

Sorun, soket iletimindedir. İzin verilen bir SSH oturumu bir bağlantıyı sunucudaki bir Unix soketine ittiğinde, Tailscale süreci yolu denetlerdi ancak ardından kök olarak işlem yapardı. Bir zamanlama hilesiyle saldırgan, o denetimin ardından farklı bir yol yerleştirebilir ve iletimin erişebileceği soketleri sınırlamayı amaçlayan güvende tutucu önlemi ortadan kaldırabilirdi.

Windisch’in kendi testlerinde, Docker kontrol soketine iletim bir kök kabuğu üretmiş ve yönetici ayrıcalıkları olmadan sistem parola dosyası /etc/shadow’u okumuştur. Tailscale’nin bildirisi erişim alanını daha dar tanımlar; bir saldırganın Docker sokonu ya da tailscaled yerel API gibi yalnızca kökün erişebileceği soketlere ulaşabileceğini belirtir.

1.104.4 sürümünde Tailscale, sunucunun iletim işlemini kök (root) yerine giriş yapan kullanıcı olarak gerçekleştirmesini ve önceki yol denetimi yerine işletim sisteminin kendi dosya izinlerine dayanmasını sağladı. Yayınlanan sürüm 4 güvenlik duyurusunu kapsıyor:

• TS-2026-014: Yukarıda belirtilen SSH soket iletim açıkları; izinli bir oturumun Docker soketi veya tailscaled yerel API gibi yalnızca kökün erişebileceği soketlere ulaşmasına olanak tanıyor.
• TS-2026-015: İzl bir SSH oturumunun sunucunun belleğini tüketip Tailscale sürecini çökertmesi ve o düğümdeki tüm Tailscale ağ bağlantısını kesmesi.
• TS-2026-016: tailscale serve özelliğinde, bir Unix soketine iletimin tailscaled yerel API’ye ulaşarak düğümün uzaktan kontrolünü sağladığı bir açık; buna ek olarak ilgili bir soket değiştirme sorunu.
• TS-2026-017: TLS serve ve 2 veya daha fazla bağlama (mount) durumunda, tek bir isteğin başka bir bağlamanın izin başlıklarını alabileceği bir açık.

Ne Yapılmalı

Tailscale SSH kullanıcıları 1.104.4 veya daha yeni bir sürüme güncellemelidir. Bir sunucuyu henüz güncelleyemiyorsanız, tailscaled hizmet ortamında TS_SSH_DISABLE_FORWARDING=1 ayarını yaparak o sunucuda SSH iletimini kapatabilir ve hizmeti yeniden başlatabilirsiniz; Tailscale, bunun iletimi devre dışı bırakırken Tailscale SSH’yi kapatmadığını ve ciddi bulgulardan bir kısmını engellediğini belirtiyor.

Tailscale ayrıca, yalnızca erişime ihtiyacı olan kullanıcı ve cihazların erişime sahip olması için SSH erişim kurallarını gözden geçirmeyi öneriyor.

Tailscale, hassas sistemlerde SSH kontrol modunu (check mode) kullanmayı öneriyor; bu mod, bir oturum başlamadan önce kullanıcının tekrar giriş yapmasını gerektiriyor. Kontrol modu bu iletim açıklarını engellemez: oturumun başlangıcını korur, oysa iletim zaten onaylanmış bir oturum içinde gerçekleşir.

Bir sunucunun zaten ele geçirilmiş olabileceği durumlarda, Windisch’in raporuna göre yalnızca düzeltme yeterli değildir. Çalıntı bir cihaz anahtarı, cihaz kontrol düzleminde silinene kadar geçerliliğini korur; çünkü makineyi yeniden kurmak anahtarı iptal etmez. Tailscale’in uyarıları bu durumu kapsamıyor.

Tablo, kendi kendine barındırılan kontrol sunucusu headscale üzerinde daha kötü. headscale’da SSH yönlendirmesi kabul edilen her oturumda verilir ve politika içinde kapatılamaz, bu nedenle Windisch’in raporu, oradaki her SSH izninin root (kök) erişimi sağladığı gibi değerlendirilmesi gerektiğini söylüyor. En yeni headscale sürümü olan 13 Ekim tarihli 0.29.5 sürümü, bildirilen sorunları düzeltmiyor.

Bu Bir Solucan mı?

Windisch, zinciri “solucanlaşabilir” (wormable) olarak nitelendirdi. Testlerinde, tek bir ele geçirilmiş cihaz, her adımda bir saniyeden kısa sürede, şifre olmadan, çalınmış anahtar olmadan ve kullanıcı eylemi olmadan, politikanın izin verdiği her cihaza yayılabildi.

İki kontrol, testlerdeki yayılmayı durdurdu. Erişim kurallarının tek tek cihazdan cihaza çiftleri olarak yazılması yayılmayı geri püskürttü ve cihaz anahtarlarının TPM gibi donanıma bağlanması, çalınmış bir kimliğin başka yerde yeniden kullanılmasını engelledi.

Tailscale, solucan betimlemesini reddetti. Şirket, bulguların makineler arasında kendi kendine yayılan, kendini çoğaltan kötü amaçlı yazılımı değil, yalnızca bir politika dosyasının zaten izin verdiği bağlantılarla sınırlı yatay hareketi betimlediğini söyledi.

Öznitelik yükseltme sorunlarını “ciddi güvenlik sorunları” olarak adlandıran şirket, başlıcalarını tekrar ürettiğini belirtti ve hangi yapılandırmaların etkilendiğini hala belirlediğini ekledi.

Açıklama ve Önceki Düzeltmeler

Yayına kadar, 4 bülten ne bir CVE tanımlayıcısı ne de ciddiyet skoru taşıyor ve hiçbirisi en eski etkilenmiş sürümü belirtmiyor. Rapor ayrıca Tailscale’in uygulama bağlayıcılarını (app connectors) ve serve ve funnel özelliklerini kapsıyordu.

Tailscale, uygulama bağlayıcı bulgunun conn25 içinde olduğunu, deneyisel bir özellik olup şu ana kadar yayımlanmadığını ve bugün müşterilerin kullandığı bağlayıcıların etkilenmediğini söyledi. 5 serve ve funnel bulgunun 3’ünü düzeltti ve diğer 2’sinin tasarlandığı gibi çalıştığını belirtti.

Windisch, raporu Tailscale ile önceden koordinasyon yapmadan yayımladı; bunu “bildirildi ancak koordine edilmedi” olarak tanımladı. Tailscale, raporun 24 Ekim Cumartesi sabahı, Windisch yayımlamadan yaklaşık 2 saat önce alındığını ve mühendislerinin zaten kodun aynı bölümlerini incelediğini söyledi.

Ne Tailscale ne de raporda açıklanan açıkların gerçek saldırılarda kullanıldığı belirtilmiyor. Kanıt kavramı kodu kamuya açık değil ve Windisch, bunu yalnızca Tailscale’in güvenlik ekibine verdiğini söyledi.

Rapor, bu yıl Tailscale’in aynı bölümünde yapılan düzeltme dizisinin en sonu. Haziran ayında Tailscale, ayrıcalıksız bir kullanıcının ayrıcalıklı bir sokete ulaşmasına olanak tanıyan Tailscale SSH’nin Unix-soket iletimindeki ayrı bir açığı, 1.98.9 sürümünde düzeltti.