Er zijn kwetsbaarheden in Tailscale SSH gevonden waardoor een computerworm zich naar apparaten in het netwerk zou kunnen verspreiden, aldus onderzoekers. Het Tailscale-ontwikkelteam verwacht later vandaag beveiligingsupdates uit te brengen en stelt dat het niet nodig is voor beheerders om Tailscalle SSH proactief uit te schakelen. Tailscale is een service voor het opzetten van een mesh vpn-netwerk, ook wel een tailnet genoemd. Waar traditionele vpn's al het verkeer via een centrale gateway-server laten lopen, creëert Tailscale een op het WireGuard vpn gebaseerd peer-to-peer mesh-netwerk.

Via Tailscale SSH is het mogelijk om de authenticatie en autorisatie van SSH-verbindingen van het tailnet te beheren. Verschillende kwetsbaarheden in de software, die de naam Tailworm kregen, maken het volgens onderzoekers mogelijk om via een gecompromitteerd apparaat in het netwerk andere apparaten in het netwerk geautomatiseerd over te nemen. Via de beveiligingslekken kan een aanvaller op kwetsbare systemen root worden en bepaalde credentials stelen.

De ontwikkelaars van Tailscale zijn met een reactie gekomen waarin ze stellen dat de meeste problemen 'privilege escalation' betreffen, waardoor een aanvaller zijn rechten kan verhogen. "In bepaalde gevallen kan iemand die al geautoriseerd is om via Tailscale SSH verbinding te maken acties uitvoeren die verdergaan dan de permissies die voor hun lokale gebruiker zijn ingesteld, waaronder het verkrijgen van verhoogde rechten", aldus de uitleg van de kwetsbaarheden. Het Tailscale-team spreekt van ernstige beveiligingsproblemen en is van plan om later vandaag met beveiligingsupdates te komen.

Volgens de ontwikkelaars is het niet nodig dat tailnet-beheerders uit voorzorg Tailscale SSH uitschakelen. Misbruik is onder andere afhankelijk van de permissies die de gebruiker of het apparaat heeft dat verbinding maakt, de configuratie van het systeem en andere omstandigheden. Naast het installeren van de patches als die beschikbaar komen krijgen beheerders het advies om SSH forwarding uit te schakelen, de SSH access policies te herzien en toegang tot gevoelige systemen tijdelijk aan te scherpen.