„Tailscale“ aptiko 11 rimtų saugumo spragų: net ribota SSH prieiga gali virsti visišku serverio perėmimu

Sekite TechNaujienos Google

Populiaraus saugaus nuotolinio prisijungimo įrankio „Tailscale“ naudotojams paskelbtas rimtas perspėjimas: saugumo tyrėjai aprašė 11 pažeidžiamumų, tarp kurių yra kelias nuo ribotos prisijungimo teisės iki didžiausių „root“ privilegijų serveryje. Tai aktualu programuotojams, administruojantiems serverius iš namų, ir įmonėms, kurios tokiu būdu jungia kompiuterius, debesijos sistemas bei vidinius tinklus.

Spalio 27–28 d. paskelbtame pranešime pateikiamos pagrindinės incidento detalės. Apie „Tailworm“ pavadintą spragų grupę spalio 27 d. pranešė „BleepingComputer“, remdamasi „Cyberdione Labs“ atliktu auditu ir „Tailscale“ saugumo komandos reakcija. Tyrėjai pažeidžiamumus atkūrė standartinėse „Tailscale“ 1.104.2 ir savarankiškai valdomo „headscale“ 0.29.5 versijose. Tikrinamos skirtingos sudedamosios dalys: SSH prieiga, programų jungtys, tarpiniai serveriai ir valdymo infrastruktūra.

Pavojingiausias scenarijus susijęs su SSH persiuntimo funkcija. Tam tikromis sąlygomis naudotojas, kuriam jau leista prisijungti prie vieno tinklo įrenginio, galėtų atlikti operacijas ne savo įprasto naudotojo, o aukščiausias teises turinčio sistemos proceso vardu. Tai skirtumas tarp teisėto riboto administravimo ir galimybės keisti kritinius failus. Tačiau pažeidžiamumas nereiškia, kad bet kuris anoniminis interneto naudotojas gali užvaldyti visus „Tailscale“ tinklus.

„Tailscale“ išpopuliarėjo dėl paprastesnio ryšio tarp skirtingose vietose esančių įrenginių. Administratorius gali pasiekti serverį be tradicinio viešo SSH prievado, o naudotojai prisijungia per centralizuotą prieigos taisyklių sistemą. Tai gali mažinti dalį įprastų atakų, tačiau kartu sukuria naują pasitikėjimo sluoksnį. Jei taisyklė pernelyg plati arba joje neįvertintas persiuntimo mechanizmas, prisijungimo teisė gali suteikti daugiau galios, nei organizacija ketino. Būtent todėl net patogūs saugaus ryšio įrankiai turi būti reguliariai audituojami.

Naujausi straipsniai

4 min. skaitymo • prieš 3 sekundės

Danijoje įsilaužta į universitetą: 525 tūkst. žmonių duomenys atsidūrė pavojuje, teko keisti įėjimo kodus

4 min. skaitymo • prieš 20 minučių

„Apple“ skubiai taiso senesnius „iPhone“: spraga jau naudota tikslinėse atakose – patikrinkite atnaujinimus

4 min. skaitymo • prieš 40 minučių

Per vieną bendrą skriptą įsilaužėliai taikėsi į mokėjimo korteles: rizika interneto parduotuvėms

Visi naujausi straipsniai →

Pavojingiausias scenarijus nebūtinai prasidėtų nuo nepažįstamo įsilaužėlio internete. Užtektų, kad užpuolikas jau kontroliuotų vieną patvirtintą kompiuterį arba gautų teisėtą, bet ribotą prieigą per pažeistą naudotojo paskyrą. Tuomet privilegijų pakėlimo trūkumas galėtų padėti pereiti prie jautresnio serverio. Tai dar kartą parodo, kodėl svarbu ne tik slaptažodžiai ir kelių veiksnių patvirtinimas, bet ir tinklo segmentavimas, trumpalaikės prieigos bei detali žurnalų stebėsena. Vienas patikėtas įrenginys neturėtų tapti universaliu raktu visai infrastruktūrai.

Organizacijos, turinčios keliasdešimt ar kelis šimtus serverių, turėtų patikrinti ne vien versijas, bet ir konkretų naudojimo scenarijų. Ar „Tailscale SSH“ iš tikrųjų naudojamas? Ar įjungtas failų ar lizdų persiuntimas? Ar egzistuoja paslaugų jungtys ir „headscale“ valdymo serveris? Tokie klausimai leidžia sudaryti tikslų taisymo prioritetų sąrašą. Darbuotojų prieigos ribojimas turi būti derinamas su veiklos tęstinumu: jei visos administravimo jungtys bus nutrauktos be plano, gali tapti neįmanoma laiku atlikti kritinių pataisų ar atkurti paslaugų po gedimo.

Kaip atsiranda grėsmė ir ką ji reiškia

Kiti rasti trūkumai apima galimybę pasiekti vidinius adresus per netinkamai tikrinamas jungtis, serverio atminties išeikvojimą ir tam tikras prieigos kontrolės lenktynių sąlygas. Atskirais atvejais galėtų kilti rizika debesijos prisijungimo duomenims ar klasterio paslaugoms. Šiuos scenarijus reikia vertinti pagal konkrečią konfigūraciją, nes ne visos funkcijos įjungtos kiekviename diegime.

„Tailscale“ pripažino, kad dalis pranešimų rimti, ir rengė pataisas. Bendrovė kartu pabrėžė, kad visiems klientams masiškai išjungti SSH funkcijos nerekomenduoja. Tai svarbu įmonėms, kurių darbuotojai nuo tokio prisijungimo priklauso: staigus tinklo išjungimas gali sutrikdyti sistemų priežiūrą ir net sukelti papildomų saugumo problemų.

Kelių darbuotojų IT komandai svarbu išvengti situacijos, kai vienas patogumo sumetimais sukurtas prieigos leidimas galioja visai įrangai. Tokiu atveju darbuotojo kompiuterio kompromitavimas gali turėti daug platesnių pasekmių nei iš pradžių atrodo. „Tailscale“ istorija pabrėžia mažiausių būtinų teisių principą: kiekvienas įrenginys ir darbuotojas turi turėti tik jam iš tikrųjų reikalingą prieigą. Administravimo taisykles naudinga reguliariai peržiūrėti, ypač kai darbuotojai keičia pareigas ar projektus. Tuo pat metu verta nustatyti, kaip organizacija sužinotų apie neįprastus persiuntimo veiksmus, masinį prisijungimų mėginimą ar kitus ženklus, kad pasitikėjimas vienu tinklo dalyviu galėjo būti išnaudotas.

Ką turi žinoti Lietuvos naudotojai ir įmonės

Praktinis pirmas žingsnis – peržiūrėti, kam ir iš kokių įrenginių leidžiama SSH prieiga, ypač prie gamybinių serverių. Antras – išjungti nereikalingą persiuntimą: „Tailscale“ rekomendacijoje nurodytas TS_SSH_DISABLE_FORWARDING=1 nustatymas. Trečias – stebėti gamintojo patvirtintas pataisytas versijas ir atnaujinti tik su aiškiu pakeitimų bei grįžimo planu.

Lietuvos mažoms technologijų bendrovėms tokie sprendimai patrauklūs, nes leidžia greitai sujungti darbuotojų kompiuterius, testavimo aplinkas ir serverius neįrengiant sudėtingos VPN infrastruktūros. Tačiau patogumas nereiškia, kad galima neprižiūrėti prieigos teisių. Naujoji istorija rodo, kad pasitikėjimo ribas būtina tikrinti net šifruotuose ir gerai vertinamuose administravimo įrankiuose. Plačiau apie susijusias technologijų saugumo problemas rašėme ankstesniame „TechNaujienos.lt“ straipsnyje.