Phân tích lỗ hổng Tailscale SSH: Nguy cơ leo thang đặc quyền Root trên hạ tầng mạng

• Phát hiện nghiêm trọng: Báo cáo Tailworm công bố 11 lỗ hổng trong Tailscale SSH, cho phép kẻ tấn công chiếm quyền root từ một thiết bị bị xâm nhập.
• Cơ chế tấn công: Lợi dụng việc chuyển tiếp socket (socket forwarding) và các lỗi logic trong xác thực để leo thang đặc quyền và di chuyển ngang (lateral movement).
• Phạm vi ảnh hưởng: Các thành phần bao gồm Tailscale SSH, App Connectors, headscale và DERP relay client.
• Khuyến nghị khẩn cấp: Hạn chế quyền SSH theo cặp (per-pair), vô hiệu hóa tính năng chuyển tiếp và cập nhật chính sách truy cập ngay lập tức.

Một báo cáo nghiên cứu bảo mật mới đây mang tên Tailworm, được công bố bởi chuyên gia Erica Windisch từ Cyberdione Labs vào ngày 25 tháng 10 năm 2026, đã chỉ ra hàng loạt lỗ hổng nghiêm trọng trong Tailscale SSH. Các lỗ hổng này có khả năng cho phép kẻ tấn công từ một thiết bị bị xâm nhập ban đầu có thể leo thang đặc quyền lên root trên các máy chủ khác trong cùng hệ thống mạng riêng ảo (VPN) của Tailscale.

Chi tiết các lỗ hổng trong hệ sinh thái Tailscale

Nghiên cứu đã liệt kê 11 phát hiện kỹ thuật được phân nhóm dựa trên các thành phần bị ảnh hưởng, bao gồm Tailscale SSH server, tính năng serve, app connector, DERP relay client và headscale (một máy chủ quản lý mạng Tailscale mã nguồn mở). Các thử nghiệm được thực hiện trên phiên bản tailscale 1.104.2 và headscale 0.29.5.

Phân tích cơ chế tấn công và leo thang đặc quyền

Điểm mấu chốt của các lỗ hổng này nằm ở cách tailscaled – một tiến trình chạy dưới quyền root – xử lý các kênh truyền thông. Khi người dùng được cấp quyền chuyển tiếp Unix socket (thường dùng cho Docker hoặc các dịch vụ hệ thống), chương trình có thể mở hoặc thay thế các kênh này bằng đặc quyền root. Trong môi trường thử nghiệm, một phiên bản tấn công đã thành công trong việc đọc file /etc/shadow gần như tức thì.

Chuỗi tấn công (Kill Chain) được mô tả như sau:

• Bước 1: Thiết lập foothold ban đầu thông qua ứng dụng web dễ bị tổn thương, phishing hoặc mã độc.
• Bước 2: Sử dụng các quy tắc SSH quá rộng để thực hiện Lateral Movement giữa các thiết bị trong mạng mesh.
• Bước 3: Khai thác lỗi F1 hoặc F2 để leo thang đặc quyền root trên máy chủ đích.
• Bước 4: Enrol một node độc hại vào mạng để duy trì quyền truy cập bền vững.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Hiện tại chưa có bản vá chính thức, do đó các quản trị viên hệ thống cần thực hiện các biện pháp giảm thiểu (workaround) ngay lập tức để bảo vệ hạ tầng:

• Thắt chặt chính sách truy cập: Thay thế các quy tắc SSH dựa trên tag hoặc identity rộng bằng các quy tắc per-pair (chỉ định rõ nguồn và đích).
• Vô hiệu hóa chuyển tiếp: Thiết lập cấu hình từ chối (deny) đối với mọi tính năng chuyển tiếp trong các quy tắc SSH.
• Tắt SSH không cần thiết: Sử dụng lệnh sau trên các thiết bị không yêu cầu SSH qua Tailscale:

tailscale set --ssh=false

• Quản lý App Connector: Loại bỏ các quyền connector không sử dụng và cấu hình lại các serve forward trỏ đến Unix socket.
• Kiểm soát vòng đời thiết bị: Bật tính năng hết hạn node-key (node-key expiry) và xóa bỏ các thiết bị bị nghi ngờ xâm nhập trực tiếp tại control plane.

Các chuyên gia nhấn mạnh rằng, mặc dù Tailscale không trực tiếp tạo ra lỗ hổng ban đầu, nhưng việc cấu hình sai hoặc quá tin tưởng vào các thiết bị trong mạng mesh có thể biến một sự cố nhỏ thành một cuộc tấn công quy mô lớn. Việc tham khảo tài liệu chính thức từ Tailscale Knowledge Base là cần thiết trước khi thực hiện bất kỳ thay đổi cấu hình nào.