Vulnerabilidad sin parche en Tailscale SSH permite escalar a root en toda la red

La investigadora de seguridad Erica Windisch publicó esta semana hallazgos que revelan una vulnerabilidad crítica en Tailscale y su alternativa autoalojada, headscale. El fallo permite a un atacante que haya comprometido un solo dispositivo escalar sus privilegios a root en otros servidores dentro de la misma red. A fecha del 25 de octubre de 2026, el proveedor no ha publicado ningún parche oficial ni identificador CVE.

Qué ocurrió

La vulnerabilidad, detallada en un informe titulado Tailworm por Cyberdione Labs, afecta a Tailscale versión 1.104.2 y headscale versión 0.29.5. Windisch demostró que si Tailscale SSH está configurado para permitir el reenvío de puertos, un atacante con control sobre un dispositivo permitido puede explotar el sistema para obtener acceso root en las máquinas objetivo. El ataque no requiere contraseñas o claves robadas, ya que Tailscale SSH autentica dispositivos en lugar de usuarios. En cambio, depende de un punto de apoyo inicial obtenido a través de vectores comunes como el phishing o aplicaciones web vulnerables.

En pruebas de laboratorio realizadas durante tres días, la investigadora mostró que el exploit podría propagarse rápidamente por la red. El proceso implica utilizar el reenvío estándar de puertos SSH para acceder a sockets del sistema reservados para root, lo que permite al atacante leer archivos sensibles como el archivo de contraseñas del sistema. En algunos escenarios, el atacante podría reemplazar sockets propiedad de root para ejecutar comandos directamente. El informe describe el potencial de propagación como gusano (wormable), lo que significa que un dispositivo comprometido podría infectar a otros permitidos por las reglas de acceso en menos de un segundo por paso, aunque esto solo se observó en entornos de laboratorio controlados.

Tailscale ha reconocido el informe pero aún no ha emitido una corrección. Mike Shaver, vicepresidente de ingeniería en Tailscale, declaró en Reddit que la empresa está trabajando con especialistas externos en seguridad para abordar los problemas. Señaló que todavía están determinando qué configuraciones específicas están afectadas y aconsejó no deshabilitar completamente Tailscale SSH para todos los usuarios. La divulgación ha generado debate, con Windisch describiéndola como reportada pero no coordinada, mientras que algunos miembros de la comunidad criticaron la publicación pública antes de que estuviera listo un parche.

Detalles clave

• La vulnerabilidad afecta a Tailscale v1.104.2 y headscale v0.29.5, específicamente cuando el reenvío de puertos SSH está habilitado.
• Los atacantes pueden obtener acceso root en servidores objetivo sin robar contraseñas o claves, aprovechando la autenticación basada en dispositivos.
• En headscale v0.29.5, el reenvío de puertos SSH no se puede deshabilitar, lo que significa que cada concesión de SSH proporciona efectivamente acceso root al objetivo.
• La cadena de exploit puede capturar claves de inscripción para unir máquinas controladas por el atacante a la red, a menos que Tailnet Lock esté habilitado.
• Tailscale no ha publicado un parche, CVE o boletín de seguridad a fecha del 25 de octubre de 2026.
• Las reglas de acceso escritas como pares únicos de origen a destino fueron el único control que detuvo la propagación en las pruebas.

Contexto

Tailscale es una herramienta popular para crear redes privadas seguras entre dispositivos, utilizada a menudo por desarrolladores y pequeñas empresas para el acceso remoto y servicios internos. Utiliza una arquitectura de malla donde los dispositivos se conectan directamente entre sí. Tailscale SSH es una función que simplifica el acceso seguro por shell gestionando la autenticación a través de la capa de identidad de Tailscale en lugar de claves SSH tradicionales o contraseñas. Headscale es una implementación de código abierto y autoalojada del servidor de control de Tailscale, que permite a las organizaciones ejecutar su propia infraestructura de coordinación en lugar de depender del servicio alojado de Tailscale.

El reenvío de puertos en SSH permite tunelizar tráfico a través de una conexión cifrada para acceder a servicios en máquinas remotas. Aunque es útil para desarrollo y administración, puede introducir riesgos de seguridad si no se restringe cuidadosamente. En este caso, la interacción entre la autenticación de dispositivos de Tailscale y el reenvío de puertos SSH crea una vía para la escalada de privilegios. El término "gusano" (wormable) se refiere a malware que puede autorreplicarse y propagarse por una red sin intervención del usuario, lo cual es una preocupación significativa para los administradores de red que gestionan múltiples dispositivos conectados.

Por qué importa

Para equipos que ejecutan su propio software, especialmente aquellos que utilizan soluciones autoalojadas como headscale, esta vulnerabilidad plantea un riesgo severo para la integridad de la infraestructura. Dado que los usuarios de headscale no pueden deshabilitar el reenvío de puertos SSH en la versión 0.29.5, cualquier dispositivo al que se le conceda acceso SSH es potencialmente una puerta de entrada para compromisos a nivel root en los servidores objetivo. Esto socava el principio de menor privilegio, un pilar fundamental de la administración segura de sistemas. Las pequeñas y medianas empresas a menudo dependen de estas herramientas por su facilidad de gestión, pero este incidente destaca los compromisos entre conveniencia y control de seguridad.

La falta de un parche inmediato significa que los administradores deben confiar en cambios de configuración para mitigar el riesgo. Esto requiere un profundo conocimiento de la topología de red y las reglas de acceso, lo cual puede ser difícil para equipos más pequeños con recursos limitados de seguridad. El potencial de propagación rápida y automatizada significa que una sola brecha, como un portátil o servidor comprometido, podría llevar a la toma completa de la red. Esto enfatiza la necesidad de monitoreo robusto y controles de acceso estrictos en entornos autoalojados.

Qué puedes hacer

• Revisa y restringe las reglas de acceso de Tailscale SSH para usar pares únicos de origen a destino, evitando concesiones amplias basadas en etiquetas o identidades.
• Deshabilita el reenvío de puertos SSH en el servicio alojado de Tailscale donde sea posible; para los usuarios de headscale, asume que todas las concesiones de SSH proporcionan acceso root.
• Elimina los permisos de conectores de aplicación de los dispositivos que no los requieran explícitamente para evitar el enrutamiento no autorizado de tráfico.
• Borra cualquier reenvío de tailscale serve que apunte a sockets Unix para reducir la exposición a la escalada de privilegios local.
• Habilita la caducidad de claves de nodo para asegurar que las claves de dispositivo robadas no permanezcan válidas indefinidamente.
• Si se sospecha que un dispositivo está comprometido, elimínalo inmediatamente del plano de control en lugar de simplemente reimprimirlo, ya que las claves podrían haber sido copiadas.