Tailscale-Schwachstellen lösen Streit aus, bevor Sicherheitsupdates verfügbar sind

Eine Sicherheitsforscherin hat elf gemeldete Sicherheitslücken in Tailscale und Headscale öffentlich beschrieben, bevor Patches verfügbar waren. Die Veröffentlichung hat eine Debatte darüber ausgelöst, ob frühzeitige Warnungen Administratoren beim Schutz ihrer Netzwerke helfen oder Angreifern einen Vorteil verschaffen.

Die Forscherin Erica Windisch veröffentlichte die Ergebnisse nach Labortests zwischen dem 22. und 24. Oktober. Dem Bericht zufolge könnten einige Schwachstellen privilegierten Serverzugriff, den Diebstahl von Zugangsdaten zur Geräteregistrierung und die Bewegung zwischen verbundenen Systemen ermöglichen.

Die schwerwiegendsten gemeldeten SSH-Angriffe setzen jedoch voraus, dass ein Angreifer bereits auf einem autorisierten Gerät Fuß gefasst hat und über entsprechende Berechtigungen verfügt.

Tailscale-Schwachstellen hängen von bestehendem Zugriff ab

Tailscale verbindet Mitarbeitergeräte, Server und Cloud-Infrastruktur über ein privates Netzwerk. Unternehmen nutzen den Dienst, um Fernzugriff bereitzustellen, ohne sensible Dienste direkt dem öffentlichen Internet auszusetzen.

Die gemeldeten Tailscale-Schwachstellen sind besonders für Unternehmen relevant, die Tailscale SSH zur Serververwaltung einsetzen. Weitreichende Zugriffsberechtigungen könnten die möglichen Auswirkungen erhöhen.

In einem Labortest demonstrierte Windisch, wie ein kompromittiertes Gerät privilegierten Zugriff auf andere Server erhalten konnte, für die entsprechende Berechtigungen bestanden. Der Test umfasste außerdem die Registrierung eines vom Angreifer kontrollierten Rechners im Netzwerk.

Diese Ergebnisse beschreiben jedoch nicht, wie ein nicht authentifizierter Angreifer aus dem Internet beliebige mit Tailscale verbundene Computer übernehmen könnte. Bestehender Gerätezugriff und die jeweiligen Berechtigungen bleiben für die gemeldeten Angriffsszenarien entscheidend.

Windisch identifizierte außerdem Risiken im Zusammenhang mit experimentellen App-Konnektoren und selbst gehosteten Headscale-Installationen. Headscale bietet eine alternative Open-Source-Implementierung des Tailscale-Kontrollservers.

Frühzeitige Veröffentlichung spaltet Sicherheitsforscher

Windisch verteidigte die Veröffentlichung der Ergebnisse, bevor Korrekturen bereitstanden. Sie argumentierte, dass Schwachstellen Nutzer bereits gefährden, unabhängig davon, ob Forscher sie offenlegen.

Ihrer Ansicht nach könnte eine schnelle öffentliche Bekanntmachung eine zügigere Behebung fördern. Außerdem argumentierte sie, dass unabhängige Forscher nicht verpflichtet sein sollten, den bevorzugten Offenlegungszeitplan eines kommerziellen Anbieters einzuhalten.

Kritiker stellten jedoch den Zeitpunkt infrage. Sie argumentierten, dass die Veröffentlichung von Schwachstellendetails vor der Verfügbarkeit von Patches Unternehmen gefährden könne, während Entwickler an Korrekturen arbeiten.

Windisch erklärte, sie habe keinen öffentlich zugänglichen Proof-of-Concept-Exploit-Code veröffentlicht. Stattdessen habe sie diesen Code ausschließlich mit dem Sicherheitskontakt von Tailscale geteilt.

Diese Unterscheidung trennt die Veröffentlichung von Forschungsergebnissen von der öffentlichen Freigabe funktionsfähigen Exploit-Codes. Sie löst jedoch nicht die Meinungsverschiedenheit darüber, wie viele Details Forscher vor der Behebung offenlegen sollten.

Tailscale untersucht Probleme und bereitet Korrekturen vor

Mike Sheaver, Vice President of Engineering bei Tailscale, bestätigte, dass das Unternehmen die gemeldeten Probleme untersuche und Korrekturen vorbereite.

Er erklärte jedoch, dass die Einschätzung des Unternehmens keine pauschale Empfehlung zur Deaktivierung von Tailscale SSH rechtfertige.

Stattdessen riet Tailscale seinen Kunden, SSH-Zugriffsregeln und Weiterleitungsberechtigungen zu überprüfen. Außerdem empfahl das Unternehmen, den Zugriff auf sensible Systeme einzuschränken und automatische Updates zu aktivieren.

Die Stellungnahme legt besonderen Wert auf Berechtigungen, da die gemeldeten Angriffe von bereits vorhandenem Zugriff innerhalb eines Netzwerks abhängen. Folglich könnten Unternehmen mit weitreichenden Serverzugriffsrichtlinien anderen Risiken ausgesetzt sein als Unternehmen mit strengeren Beschränkungen.

Frühere SSH-Schwachstelle liefert Hintergrund

Die neuesten Tailscale-Schwachstellen folgen auf ein früheres Problem, das es Nutzern mit eingeschränktem Zugriff ermöglichen konnte, mehr Kontrolle über Server zu erlangen.

Tailscale behob diese Schwachstelle, die unter TS-2026-004 geführt wird, in Version 1.98.9. Die frühere Korrektur sollte jedoch nicht mit Patches für die neu gemeldeten Probleme verwechselt werden.

Zum Zeitpunkt des vorliegenden Berichts untersuchte das Unternehmen die neuen Probleme weiterhin und bereitete Updates vor. Der Bericht beschreibt Demonstrationen unter Laborbedingungen, belegt jedoch keine Ausnutzung bei tatsächlichen Angriffen.