Что обнаружено

Основная часть выявленных проблем Tailscale SSH связана с повышением привилегий. При определённых обстоятельствах пользователь или устройство, уже авторизованные для подключения через Tailscale SSH, могут выполнить действия, выходящие за пределы разрешений их локального аккаунта, включая потенциальное получение повышенных привилегий.

Это серьёзные проблемы безопасности, и Tailscale относится к ним соответственно.

Возможность эксплуатации зависит от разрешений, предоставленных подключающемуся пользователю или устройству, конфигурации системы и других факторов. Расследование продолжается с целью проверить полный масштаб найденных проблем и определить, какие конфигурации могут быть затронуты.

По текущей оценке Tailscale не рекомендует всем отключать Tailscale SSH.

Ход работ по исправлению

Инженеры Tailscale реализовали исправления для большинства выявленных проблем и завершают тестирование перед выпуском патченого клиента.

Выпуск запланирован на конец вторника 27 октября при условии успешного завершения тестирования. Страница будет обновлена, когда патченая версия станет доступна, или если сроки изменятся.

Работа по проверке оставшихся выводов и верификации того, что внесённые изменения решают основные проблемы, продолжается.

Что могут сделать пользователи сейчас

Пока готовится обновление, рекомендуется проверить конфигурацию Tailscale SSH:

  • Проверить политики доступа SSH. Убедиться, что доступ ограничен только теми пользователями и устройствами, которым он необходим.
  • Отключить SSH-проксирование, если оно не требуется. Установить TS_SSH_DISABLE_FORWARDING=1 в переменных окружения сервиса tailscaled и перезагрузить сервис. Это отключит SSH-проксирование без полного отключения Tailscale SSH и снизит риск ряда более серьёзных проблем.
  • Проверить доступ к чувствительным системам. Рассмотреть возможность временного усиления политик доступа Tailscale SSH во время расследования, чтобы подключаться могли только конкретные пользователи и устройства, которым это необходимо.
  • Подготовиться к обновлению. Применить патченый выпуск клиента Tailscale, когда он станет доступен.

Что дальше

Как только исправления будут готовы, Tailscale опубликует рекомендацию по безопасности с подробным описанием подтверждённых уязвимостей, затронутых версий и конфигураций, их влияния и способов решения. Ссылка на неё будет добавлена сюда.

После этого выйдет технический пост в блоге с объяснением выводов, их причин и инженерных решений, реализованных командой. Ссылка будет опубликована здесь при выходе.

Если оценка ситуации изменится или будут выявлены дополнительные шаги для пользователей, об этом будет сообщено.

Тем, у кого есть вопросы о конкретной окружении, рекомендуется обратиться в Tailscale Support.