Tailscale-ը թողարկել է 1.104.4 տարբերակը՝ հեռավար հասանելիության խոցելիությունները շտկելու համար

Tailscale-ը թողարկել է 1.104.4 տարբերակը՝ անվտանգության չորս տեղեկագրերում նկարագրված խնդիրների շտկումներով։ Դրանց թվում են խոցելիություններ, որոնց պատճառով թույլատրված հեռավար աշխատաշրջանից հնարավոր էր հասնել համակարգի ադմինիստրատորի՝ root-ի համար նախատեսված ռեսուրսներին։ Թարմացումից հետո կապերի վերահասցեավորումն իրականացվում է մուտք գործած օգտատիրոջ, այլ ոչ թե root-ի թույլտվություններով։

Թողարկմանը նախորդել է Cyberdione Labs-ի հետազոտող Էրիկա Վինդիշի՝ հոկտեմբերի 24-ին հրապարակած Tailworm զեկույցը։ Tailscale-ի խոսքով՝ հաստատված SSH խոցելիությունները վերաբերում են կապի հաստատումից հետո գործող թույլտվություններին․ դրանք օգտագործելու համար հարձակվողը պետք է արդեն վերահսկի լիազորված սարք և թիրախին միանալու թույլտվություն ունենա, իսկ վերահասցեավորման խոցելիությունների դեպքում՝ նաև վերահասցեավորման թույլտվություն։

SSH-ն ապահովում է հեռավար հասանելիություն հրամանային տողին։ Tailscale-ի ներկառուցված SSH սերվերն առանձին SSH գաղտնաբառի կամ բանալու փոխարեն օգտագործում է սարքերի ինքնությունն ու ցանցի քաղաքականությունը։ Ուստի հարձակվողի վերահսկողության տակ անցած վստահելի սարքը նրան տալիս է նախնական հասանելիություն, սակայն նա կարող է հասնել միայն այն համակարգիչներին, որոնց միանալն արդեն թույլատրված է քաղաքականությամբ։ SSH սերվերն աշխատում է Linux-ում և macOS-ի համար բաց կոդով հավաքածուում, իսկ հարձակվողի սարքը կարող է օգտագործել ցանկացած հարթակ։

Ինչպես էր վերահասցեավորումը շրջանցում թույլտվության սահմանը

Վերահասցեավորումը կապն անցկացնում է SSH աշխատաշրջանի միջով։ Խոցելի իրականացումը ստուգում էր Unix սոկետի՝ ծրագրերի հաղորդակցության տեղային վերջնակետի ուղին, սակայն այնուհետև կապը հաստատում էր root-ի իրավունքներով։ Հարձակվողը կարող էր ստուգման և օգտագործման միջև փոխարինել ուղին՝ շրջանցելով նախատեսված սահմանափակումը։

1.104.4 տարբերակում ուղու այդ ստուգումը փոխարինվել է օպերացիոն համակարգի ֆայլային թույլտվությունների ստուգումներով, իսկ վերահասցեավորումն իրականացվում է մուտք գործած օգտատիրոջ անունից։ The Hacker News-ը մանրամասնել է փոփոխությունը և հաստատված խնդիրներին վերաբերող չորս տեղեկագրերը։

Հոկտեմբերի 28-ի դրությամբ տեղեկագրերում նշված չէին խնդրին ենթակա ամենահին տարբերակները, ինչպես նաև CVE խոցելիության նույնացուցիչներն ու վտանգավորության գնահատականները։ Tailscale-ը հայտնել է, որ դեռ պարզում է՝ որ կազմաձևումներն են առնչվում խնդիրներին։

Թարմացնել կամ ժամանակավորապես անջատել վերահասցեավորումը

Tailscale-ը SSH օգտատերերին խորհուրդ է տալիս տեղադրել 1.104.4 կամ ավելի նոր տարբերակը։ Ընկերության խոսքով՝ այն սերվերներում, որոնք դեռ հնարավոր չէ թարմացնել, ադմինիստրատորները կարող են tailscaled ծառայության միջավայրում սահմանել TS_SSH_DISABLE_FORWARDING=1 և վերագործարկել ծառայությունը։ Դա անջատում է վերահասցեավորումը՝ առանց Tailscale SSH-ն անջատելու, և կանխում է հայտնաբերված առավել լուրջ խնդիրներից մի քանիսի օգտագործումը։

SSH վերահասցեավորման անջատումը վերահասցեավորման խոցելիությունների դեմ ժամանակավոր միջոց է և չի փոխարինում SSH-ի հիշողության սպառման կամ Serve-ի առանձին խնդիրների շտկումներին։ Այդ խնդիրները շտկվում են թարմացմամբ։

Ընկերությունը նաև խորհուրդ է տալիս SSH կանոններով հասանելիությունը սահմանափակել այն օգտատերերով ու սարքերով, որոնց դա անհրաժեշտ է։ Զգայուն համակարգերի համար այն առաջարկում է ստուգման ռեժիմ, որը պահանջում է օգտատիրոջ կրկնակի նույնականացում՝ նախքան աշխատաշրջանի սկսվելը։ Այդ ստուգումը վերահսկում է մուտքը, բայց չի կանխում հաստատված աշխատաշրջանի ներսում վերահասցեավորման չարաշահումը։

Ինչ է ցուցադրել Վինդիշը և ինչ խնդիր է մնում headscale-ում

Վինդիշն ասել է, որ թողարկված Tailscale հաճախորդների և սեփական սերվերում տեղադրվող headscale կառավարման սերվերի լաբորատոր փորձարկումների ընթացքում Docker-ի կառավարման սոկետին վերահասցեավորման միջոցով, առանց ադմինիստրատորի իրավունքների, ստացել է root հրամանային միջավայր և հասանելիություն համակարգի գաղտնաբառերի /etc/shadow ֆայլին։ Tailscale-ի տեղեկագրում հաստատված ազդեցությունն ավելի նեղ է նկարագրված՝ որպես հասանելիություն միայն root-ի համար նախատեսված սոկետներին։

Վինդիշը շղթան անվանել է «որդանման տարածման ունակ»՝ ասելով, որ իր փորձարկումներում հարձակվողի վերահսկողության տակ անցած մեկ սարքից հնարավոր է եղել անցնել քաղաքականությամբ թույլատրված սարքերին՝ առանց գաղտնաբառերի, գողացված բանալիների կամ օգտատիրոջ գործողության, յուրաքանչյուր քայլին մեկ վայրկյանից պակաս ժամանակում։ Tailscale-ը վիճարկում է այդ բնորոշումը․ ընկերության խոսքով՝ արդյունքները ցույց են տալիս քաղաքականությամբ թույլատրված համակարգիչների միջև տեղաշարժ, այլ ոչ թե սարքերի միջև ինքնաբերաբար բազմացող վնասաբեր ծրագրի տարածում։ Ո՛չ Tailscale-ը, ո՛չ Վինդիշը չեն հայտնել իրական հարձակումներում խոցելիությունների օգտագործման մասին։

Առանձին քաղաքականության սահմանափակում է գործում headscale-ում։ Վինդիշի խոսքով՝ այն թույլատրում է վերահասցեավորումը յուրաքանչյուր ընդունված SSH աշխատաշրջանում և չունի քաղաքականության կարգավորում՝ այն անջատելու համար։ Ուստի նա խորհուրդ է տալիս չշտկված տեղակայումներում SSH-ի յուրաքանչյուր թույլտվություն դիտարկել որպես root հասանելիության տրամադրում։ The Hacker News-ը հայտնել է, որ headscale-ի վերջին՝ հոկտեմբերի 13-ով թվագրված 0.29.5 տարբերակը չի շտկել զեկուցված խնդիրները։ headscale-ի այս վիճակն առանձին է Tailscale ծրագրում այժմ հասանելի շտկումներից։

Եթե հնարավոր է, որ համակարգիչն արդեն անցել է հարձակվողի վերահսկողության տակ, ապա, Վինդիշի խոսքով, միայն թարմացումը կամ համակարգի պատկերի վերատեղադրումը չեն անվավեր դարձնում սարքից գողացված բանալին։ Նա խորհուրդ է տալիս սարքը ջնջել կառավարման համակարգից, որը կարգավորում է ցանցին անդամակցությունը, որպեսզի դրա ինքնությունն ուժը կորցնի։ Նրա փորձարկումներում սարքից սարք հասանելիության կանոնները սահմանափակել են տարածումը, իսկ սարքավորմանը կապակցված սարքի բանալիները կանխել են գողացված ինքնության կրկնակի օգտագործումն այլ տեղում։

Հետաքննությունից մինչև շտկումների թողարկումը

Tailscale-ի խոսքով՝ ընկերությունը սկսել է հետաքննությունը հոկտեմբերի 23-ին՝ մտահոգությունների հրապարակային տարածումից հետո։ Վինդիշի զեկույցը ստացել է հոկտեմբերի 24-ի առավոտյան՝ դրա հրապարակումից երկու ժամ առաջ, երբ ինժեներներն արդեն ուսումնասիրում էին առնչվող խնդիրները։ Ընկերությունը նախնական նախազգուշական միջոցները հրապարակել է հոկտեմբերի 26-ին, իսկ շտկումների հասանելիության մասին հայտարարել՝ հոկտեմբերի 28-ին։

Ավելի լայն զեկույցն անդրադարձել է նաև Tailscale-ի այլ գործառույթների։ Ընկերության խոսքով՝ Serve-ի և Funnel-ի վերաբերյալ հինգ բացահայտումներից երեքը սխալներ էին, որոնք այժմ շտկվել են։ Մյուս երկուսն ընկերությունը համարում է նախատեսված վարքագիծ․ Funnel-ի հասանելիության ստուգումը շրջանցելու համար անհրաժեշտ է տեղային ադմինիստրատորի հասանելիություն, իսկ TS_SERVE_ALLOW_ALL_INTERFACES կարգավորումը միտումնավոր հասանելի է դարձնում Serve-ը Tailscale ցանցից դուրս։

Tailscale-ի խոսքով՝ հավելվածների միակցիչին վերաբերող բացահայտումն առնչվում է Conn25-ին՝ գործող միակցիչներին փոխարինելու համար նախատեսված, դեռ չթողարկված գործառույթին։ Ընկերությունն արդեն գիտեր այդ խնդրի մասին և հայտնում է, որ գործող կայուն միակցիչները դրանից չեն տուժում։ Խնդրին առնչվող թողարկված գործառույթներն օգտագործող ադմինիստրատորների համար 1.104.4 տարբերակը հասանելի շտկումն է, իսկ ընկերությունը նաև խորհուրդ է տալիս վերանայել SSH հասանելիության կանոնները։