Tailscale, yerleşik SSH sunucusundaki güvenlik açıklarını gidermek amacıyla 1.104.4 sürümünü duyurdu. Kapatılan açıklar, ağ erişim kurallarının zaten izin verdiği bir cihazı ele geçiren saldırganın hedef sunucularda normalde yalnızca root kullanıcısının erişebildiği servislere ve dosyalara ulaşmasına imkân tanıyordu.
Cyberdione Labs'tan Erica Windisch'in yürüttüğü ve düzeltmeden birkaç gün önce yayımlanan Tailworm adlı araştırmada, Docker kontrol soketine yönlendirme yapılarak root kabuğu elde edildiği ve sistem parola dosyası /etc/shadow'un yönetici hakları olmaksızın okunabildiği belgelendi. Tailscale ise bulgularını daha dar bir çerçevede tanımladı: Saldırganın Docker soketi veya tailscaled yerel API'si gibi yalnızca root'a açık soketlere ulaşabildiğini açıkladı.
Tailscale SSH sunucusu yalnızca Linux ve açık kaynaklı macOS derlemesinde çalışıyor; saldırganın cihazı ise herhangi bir platform olabilir. Tailscale ayrıca açıkların kimliği doğrulanmamış bir saldırganın rastgele Tailscale SSH sunucularına bağlanmasına izin vermediğini ve saldırganın erişiminin politika dosyasının zaten tanımladığı makinelerle sınırlı kaldığını vurguladı.
TS-2026-015, izin verilen bir SSH oturumunun sunucunun belleğini tüketerek Tailscale sürecini çöktürebileceği ve o düğümdeki tüm Tailscale ağ bağlantısını kesebileceği bir yöntemi kapsıyor. TS-2026-016, tailscale serve'deki bir açığı ele alıyor: Unix soketine yapılan yönlendirmenin tailscaled yerel API'sine ulaşarak düğümün uzaktan kontrolüne imkân tanıması ve bununla ilişkili bir soket değiştirme sorunu bu bültende yer alıyor. TS-2026-017 ise TLS serve ile iki ya da daha fazla bağlama noktasının kullanıldığı ortamlarda bir isteğin başka bir bağlama noktasının izin başlıklarını alabileceği bir açığı kapsıyor. Yayım tarihi itibarıyla dört bültenin hiçbirinde CVE tanımlayıcısı veya önem puanı yer almıyor; etkilenen en eski sürüm de belirtilmiyor.
Tailscale ayrıca SSH erişim kurallarının gözden geçirilmesini ve yalnızca gerçekten erişmesi gereken kullanıcı ile cihazların kural kapsamında tutulmasını öneriyor. Hassas sistemler için SSH kontrol modunun kullanılmasını da tavsiye ediyor; ancak bu mod bir oturumun başlangıcını koruduğundan, zaten onaylanmış bir oturum içinde gerçekleşen yönlendirme açıklarını durdurmadığını da ekliyor.
Windisch'in raporuna göre bir sunucunun daha önce ele geçirilmiş olabileceği durumlarda yalnızca güncelleme yapmak yeterli değil. Çalınan bir cihaz anahtarı, makine yeniden görüntülense dahi kontrol düzleminde cihaz silinene kadar geçerliliğini koruyor; Tailscale'in duyurularında bu durum ele alınmıyor.
Tailscale ise solucan tanımını reddetti. Bulgular, makineler arasında kendi kendine yayılan kötü amaçlı yazılımı değil, yalnızca politika dosyasının zaten izin verdiği bağlantılarla sınırlı yanal hareketi tanımlıyor dedi. Ayrıca ayrıcalık yükseltme sorunlarını "ciddi güvenlik sorunları" olarak nitelendirdi, ana sorunları yeniden oluşturduğunu bildirdi ve hangi yapılandırmaların etkilendiğini belirleme çalışmalarının sürdüğünü ekledi.
Windisch raporu, Tailscale ile yayım tarihini koordine etmeden kamuoyuyla paylaştı; bunu kendisi "bildirildi ancak koordine edilmedi" şeklinde tanımladı. Tailscale ise raporu, Windisch'in yayımlamasından yaklaşık iki saat önce, 24 Ekim Cumartesi sabahı aldığını ve mühendislerinin kodun aynı bölümlerini zaten incelemekte olduğunu açıkladı. Kavram kanıtı kodu kamuya açık değil; Windisch yalnızca Tailscale'in güvenlik ekibiyle paylaştığını belirtti. Ne Tailscale ne de rapor, açıkların gerçek saldırılarda kullanıldığını ortaya koyuyor.
Bu rapor, aynı alandaki düzeltmelerin bu yıl içinde sürdüğünü de gösteriyor. Haziran ayında Tailscale, 1.98.9 sürümünde Tailscale SSH'ın Unix soket yönlendirmesindeki ayrı bir açığı kapatmıştı; söz konusu açık, ayrıcalıksız bir kullanıcının ayrıcalıklı bir sokete ulaşmasına olanak tanıyordu.
Açıklar Nasıl Çalışıyordu?
Tailscale SSH, bağlantılara kimin erişebileceğini parola ya da anahtar yerine cihaz kimliği ve ağ politika dosyasına göre belirlediğinden, saldırganın çalıntı bir kimlik bilgisine ihtiyacı bulunmuyordu; politikanın zaten güvendiği bir cihaz üzerinde tutunmak yeterliydi. Güvenlik açıklarının özü soket yönlendirmesinde yatıyordu: İzin verilen bir SSH oturumu Unix soketi üzerinden bağlantı yönlendirdiğinde Tailscale arka plan süreci yolu denetliyor, ardından root olarak işlem yapıyordu. Zamanlama temelli bir numarayla saldırgan, denetimden sonra farklı bir yolu devreye sokarak bu güvenceyi etkisiz kılabiliyordu.Cyberdione Labs'tan Erica Windisch'in yürüttüğü ve düzeltmeden birkaç gün önce yayımlanan Tailworm adlı araştırmada, Docker kontrol soketine yönlendirme yapılarak root kabuğu elde edildiği ve sistem parola dosyası /etc/shadow'un yönetici hakları olmaksızın okunabildiği belgelendi. Tailscale ise bulgularını daha dar bir çerçevede tanımladı: Saldırganın Docker soketi veya tailscaled yerel API'si gibi yalnızca root'a açık soketlere ulaşabildiğini açıkladı.
Tailscale SSH sunucusu yalnızca Linux ve açık kaynaklı macOS derlemesinde çalışıyor; saldırganın cihazı ise herhangi bir platform olabilir. Tailscale ayrıca açıkların kimliği doğrulanmamış bir saldırganın rastgele Tailscale SSH sunucularına bağlanmasına izin vermediğini ve saldırganın erişiminin politika dosyasının zaten tanımladığı makinelerle sınırlı kaldığını vurguladı.
1.104.4 Sürümünde Dört Güvenlik Bülteni
Güncelleme dört ayrı güvenlik bültenini kapsıyor. TS-2026-014, yukarıda açıklanan SSH soket yönlendirme açıklarını ele alıyor; izin verilen bir oturumun Docker soketi veya tailscaled yerel API'si gibi yalnızca root'a açık soketlere ulaşmasına olanak tanıyan bu sorun, 1.104.4'te yönlendirmenin root yerine oturum açmış kullanıcı kimliğiyle gerçekleştirilmesi ve daha önceki yol denetimi yerine işletim sisteminin kendi dosya izinlerine dayanılmasıyla giderildi.TS-2026-015, izin verilen bir SSH oturumunun sunucunun belleğini tüketerek Tailscale sürecini çöktürebileceği ve o düğümdeki tüm Tailscale ağ bağlantısını kesebileceği bir yöntemi kapsıyor. TS-2026-016, tailscale serve'deki bir açığı ele alıyor: Unix soketine yapılan yönlendirmenin tailscaled yerel API'sine ulaşarak düğümün uzaktan kontrolüne imkân tanıması ve bununla ilişkili bir soket değiştirme sorunu bu bültende yer alıyor. TS-2026-017 ise TLS serve ile iki ya da daha fazla bağlama noktasının kullanıldığı ortamlarda bir isteğin başka bir bağlama noktasının izin başlıklarını alabileceği bir açığı kapsıyor. Yayım tarihi itibarıyla dört bültenin hiçbirinde CVE tanımlayıcısı veya önem puanı yer almıyor; etkilenen en eski sürüm de belirtilmiyor.
Kullanıcılara Tavsiyeler
Tailscale SSH kullananların 1.104.4 veya daha yeni bir sürüme güncellemesi gerekiyor. Güncelleme hemen yapılamıyorsa tailscaled servis ortamına TS_SSH_DISABLE_FORWARDING=1 eklenerek ve servis yeniden başlatılarak SSH yönlendirmesi devre dışı bırakılabiliyor. Tailscale, bu adımın Tailscale SSH'ı tamamen kapatmadan yönlendirmeyi engellediğini ve daha ciddi bulguların büyük bölümünü önlediğini belirtiyor.Tailscale ayrıca SSH erişim kurallarının gözden geçirilmesini ve yalnızca gerçekten erişmesi gereken kullanıcı ile cihazların kural kapsamında tutulmasını öneriyor. Hassas sistemler için SSH kontrol modunun kullanılmasını da tavsiye ediyor; ancak bu mod bir oturumun başlangıcını koruduğundan, zaten onaylanmış bir oturum içinde gerçekleşen yönlendirme açıklarını durdurmadığını da ekliyor.
Windisch'in raporuna göre bir sunucunun daha önce ele geçirilmiş olabileceği durumlarda yalnızca güncelleme yapmak yeterli değil. Çalınan bir cihaz anahtarı, makine yeniden görüntülense dahi kontrol düzleminde cihaz silinene kadar geçerliliğini koruyor; Tailscale'in duyurularında bu durum ele alınmıyor.
Headscale'de Durum Daha Kaygı Verici
Kendi kendine barındırılan kontrol sunucusu headscale'de tablo daha kötü görünüyor. Headscale'de SSH yönlendirmesi, kabul edilen her oturumda otomatik olarak veriliyor ve politika aracılığıyla kapatılamıyor. Bu nedenle Windisch'in raporu, headscale üzerindeki her SSH izninin root erişimi vermekle eşdeğer kabul edilmesi gerektiğini belirtiyor. 13 Ekim tarihli en yeni headscale sürümü olan 0.29.5, bildirilen sorunları gidermiyor."Solucan" Tartışması ve Koordineli Olmayan Açıklama
Windisch, bulgu zincirini "solucanlaştırılabilir" (wormable) olarak nitelendirdi. Kendi testlerinde ele geçirilen tek bir cihazın, parola, çalıntı anahtar veya herhangi bir kullanıcı etkileşimi olmaksızın politikanın izin verdiği her cihaza saniyenin altında sürelerde yayılabildiğini belgeledi. Testlerde iki kontrol mekanizması yayılmayı engelledi: Erişim kurallarının tek tek cihaz çiftleri biçiminde yazılması ve cihaz anahtarlarının TPM gibi donanıma bağlanması.Tailscale ise solucan tanımını reddetti. Bulgular, makineler arasında kendi kendine yayılan kötü amaçlı yazılımı değil, yalnızca politika dosyasının zaten izin verdiği bağlantılarla sınırlı yanal hareketi tanımlıyor dedi. Ayrıca ayrıcalık yükseltme sorunlarını "ciddi güvenlik sorunları" olarak nitelendirdi, ana sorunları yeniden oluşturduğunu bildirdi ve hangi yapılandırmaların etkilendiğini belirleme çalışmalarının sürdüğünü ekledi.
Windisch raporu, Tailscale ile yayım tarihini koordine etmeden kamuoyuyla paylaştı; bunu kendisi "bildirildi ancak koordine edilmedi" şeklinde tanımladı. Tailscale ise raporu, Windisch'in yayımlamasından yaklaşık iki saat önce, 24 Ekim Cumartesi sabahı aldığını ve mühendislerinin kodun aynı bölümlerini zaten incelemekte olduğunu açıkladı. Kavram kanıtı kodu kamuya açık değil; Windisch yalnızca Tailscale'in güvenlik ekibiyle paylaştığını belirtti. Ne Tailscale ne de rapor, açıkların gerçek saldırılarda kullanıldığını ortaya koyuyor.
Bu rapor, aynı alandaki düzeltmelerin bu yıl içinde sürdüğünü de gösteriyor. Haziran ayında Tailscale, 1.98.9 sürümünde Tailscale SSH'ın Unix soket yönlendirmesindeki ayrı bir açığı kapatmıştı; söz konusu açık, ayrıcalıksız bir kullanıcının ayrıcalıklı bir sokete ulaşmasına olanak tanıyordu.
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yazılım ve Uygulamalar
Yorumlar (0)
Yorum yapmak için giriş yapmalısınız.