L'équipe de sécurité de la société Tailscale a annoncé travailler sur la publication de mises d'urgence pour corriger 11 failles de sécurité récemment découvertes, qui pourraient être exploitées pour voler des identifiants, perturber des serveurs ou obtenir des privilèges "Root" complets sur les systèmes touchés. Tailscale est reconnue pour développer des réseaux privés virtuels (VPN) basés sur le protocole WireGuard, permettant aux utilisateurs de relier des ordinateurs, des serveurs et des instances cloud via un réseau chiffré de pair à pair (P2P).
Détails de la découverte des failles "Tailworm"
Cyberdione Labs a découvert ces failles, baptisées "Tailworm", lors d'un audit de sécurité de la version 1.104.2 du logiciel Tailscale et du serveur de contrôle auto-hébergé headscale en version v0.29.5. Erika Windisch, fondatrice du laboratoire, a confirmé que ces vulnérabilités ont été vérifiées en environnement de laboratoire sur des logiciels non modifiés, soulignant que leur découverte n'a pas exigé d'effort considérable, ce qui nécessite une intervention immédiate de la part des utilisateurs.
Les vulnérabilités découvertes se répartissent sur plusieurs composants essentiels ; outre la faille du serveur SSH intégré qui permet l'exécution de code avec les privilèges Root, le composant des connecteurs d'applications (App Connectors) souffre d'un défaut permettant de acheminer le trafic vers des destinations choisies par l'attaquant sans vérifier les listes de contrôle d'accès (ACL), ce qui pourrait conduire au vol d'identifiants depuis des environnements cloud ou à l'accès à des réseaux locaux internes. Un problème a également été identifié dans le client de relais de connexion DERP, où un relais malveillant peut provoquer l'épuisement de la mémoire du client.
Qu'est-ce qui change concrètement pour les utilisateurs ?
Tailscale a reconnu la gravité de ces failles, expliquant que leur exploitation dépend des autorisations accordées à l'utilisateur ou à l'appareil connecté, ainsi que de la configuration du système. Néanmoins, l'entreprise n'a pas conseillé de désactiver entièrement la fonctionnalité Tailscale SSH, mais a plutôt suggéré des mesures de précaution immédiates pour réduire les risques en attendant la publication des mises à jour finales. Ces mesures comprennent :
- Révision des politiques d'accès : Restreindre l'accès via SSH uniquement aux utilisateurs et aux appareils qui en ont réellement besoin.
- Désactivation du transfert SSH : Si le transfert n'est pas nécessaire, il est possible de configurer la variable d'environnement (TS_SSH_DISABLE_FORWARDING=1) dans le service tailscaled et de le redémarrer, ce qui désactive le transfert et ferme l'un des principaux vecteurs d'attaque.
- Durcissement temporaire des politiques : Revoir l'accès aux systèmes sensibles et le restreindre strictement pendant la période d'investigation et de remédiation.
La société devrait publier les mises à jour de sécurité nécessaires pour corriger l'ensemble de ces failles d'ici la fin de la journée du mardi 27 octobre. Elle a exhorté tous les administrateurs système et les utilisateurs à se préparer à mettre à jour leurs applications dès la disponibilité de la nouvelle version afin de garantir la protection de leur infrastructure technique contre toute tentative d'exploitation de ces graves vulnérabilités.