Une faille non corrigée dans Tailscale SSH permet une élévation de privilèges vers root à travers les réseaux

La chercheuse en sécurité Erica Windisch a publié cette semaine des résultats révélant une vulnérabilité critique dans Tailscale et son alternative auto-hébergée, headscale. Le défaut permet à un attaquant ayant compromis un seul appareil d'escalader ses privilèges jusqu'à root sur d'autres serveurs du même réseau. Au 25 octobre 2026, aucun correctif officiel ou identifiant CVE n'a été publié par l'éditeur.

Ce qui s'est passé

La vulnérabilité, détaillée dans un rapport intitulé Tailworm par Cyberdione Labs, affecte la version 1.104.2 de Tailscale et la version 0.29.5 de headscale. Windisch a démontré que si Tailscale SSH est configuré pour autoriser le transfert de port, un attaquant contrôlant un appareil autorisé peut exploiter le système pour obtenir un accès root sur les machines cibles. L'attaque ne nécessite pas de mots de passe ou de clés volés, car Tailscale SSH authentifie les appareils plutôt que les utilisateurs. Elle repose plutôt sur un point d'appui initial obtenu via des vecteurs courants comme le phishing ou des applications web vulnérables.

Lors de tests en laboratoire menés sur trois jours, la chercheuse a montré que l'exploit pouvait se propager rapidement à travers le réseau. Le processus implique l'utilisation du transfert de port SSH standard pour accéder aux sockets système réservés au root, permettant à l'attaquant de lire des fichiers sensibles comme le fichier de mots de passe système. Dans certains scénarios, l'attaquant pourrait remplacer les sockets appartenant au root pour exécuter des commandes directement. Le rapport décrit la propagation potentielle comme étant « wormable » (auto-reproductible), signifiant qu'un appareil compromis pourrait infecter d'autres appareils autorisés par les règles d'accès en moins d'une seconde par étape, bien que cela n'ait été observé que dans des environnements de laboratoire contrôlés.

Tailscale a reconnu le rapport mais n'a pas encore publié de correctif. Mike Shaver, vice-président de l'ingénierie chez Tailscale, a déclaré sur Reddit que l'entreprise travaille avec des spécialistes externes de la sécurité pour résoudre les problèmes. Il a noté qu'ils déterminent encore quelles configurations spécifiques sont affectées et a déconseillé de désactiver entièrement Tailscale SSH pour tous les utilisateurs. La divulgation a suscité un débat, Windisch la qualifiant de signalée mais non coordonnée, tandis que certains membres de la communauté ont critiqué la publication publique avant qu'un correctif ne soit prêt.

Détails clés

• La vulnérabilité affecte Tailscale v1.104.2 et headscale v0.29.5, spécifiquement lorsque le transfert de port SSH est activé.
• Les attaquants peuvent obtenir un accès root sur les serveurs cibles sans voler de mots de passe ni de clés, en exploitant l'authentification basée sur les appareils.
• Sur headscale v0.29.5, le transfert de port SSH ne peut pas être désactivé, ce qui signifie que chaque octroi SSH fournit effectivement un accès root à la cible.
• La chaîne d'exploitation peut capturer des clés d'enrôlement pour joindre des machines contrôlées par l'attaquant au réseau, sauf si Tailnet Lock est activé.
• Tailscale n'a pas publié de correctif, de CVE ou de bulletin de sécurité au 25 octobre 2026.
• Les règles d'accès écrites sous forme de paires source-destination uniques étaient le seul contrôle qui arrêtait la propagation lors des tests.

Contexte

Tailscale est un outil populaire pour créer des réseaux privés sécurisés entre les appareils, souvent utilisé par les développeurs et les petites entreprises pour l'accès à distance et les services internes. Il utilise une architecture de réseau maillé où les appareils se connectent directement les uns aux autres. Tailscale SSH est une fonctionnalité qui simplifie l'accès shell sécurisé en gérant l'authentification via la couche d'identité Tailscale plutôt que par des clés SSH ou des mots de passe traditionnels. Headscale est une implémentation open-source et auto-hébergée du serveur de contrôle Tailscale, permettant aux organisations de gérer leur propre infrastructure de coordination au lieu de dépendre du service hébergé de Tailscale.

Le transfert de port dans SSH permet de tunneliser le trafic à travers une connexion chiffrée pour accéder à des services sur des machines distantes. Bien qu'utile pour le développement et l'administration, il peut introduire des risques de sécurité s'il n'est pas soigneusement restreint. Dans ce cas, l'interaction entre l'authentification des appareils Tailscale et le transfert de port SSH crée une voie pour l'élévation de privilèges. Le terme « wormable » fait référence à un logiciel malveillant capable de se répliquer et de se propager à travers un réseau sans intervention utilisateur, ce qui constitue une préoccupation majeure pour les administrateurs réseau gérant plusieurs appareils connectés.

Pourquoi c'est important

Pour les équipes exécutant leurs propres logiciels, surtout celles utilisant des solutions auto-hébergées comme headscale, cette vulnérabilité pose un risque grave pour l'intégrité de l'infrastructure. Puisque les utilisateurs de headscale ne peuvent pas désactiver le transfert de port SSH dans la version 0.29.5, tout appareil auquel un accès SSH est accordé est potentiellement une passerelle pour une compromission au niveau root sur les serveurs cibles. Cela sape le principe du moindre privilège, un pilier fondamental de l'administration système sécurisée. Les petites et moyennes entreprises comptent souvent sur ces outils pour la facilité de gestion, mais cet incident met en lumière les compromis entre commodité et contrôle de sécurité.

L'absence de correctif immédiat signifie que les administrateurs doivent compter sur des modifications de configuration pour atténuer les risques. Cela nécessite une compréhension approfondie de la topologie réseau et des règles d'accès, ce qui peut être difficile pour les petites équipes disposant de ressources limitées en matière de sécurité. Le potentiel de propagation rapide et automatisée signifie qu'une seule brèche, comme un ordinateur portable ou un serveur compromis, pourrait entraîner la prise de contrôle totale du réseau. Cela souligne la nécessité d'une surveillance robuste et de contrôles d'accès stricts dans les environnements auto-hébergés.

Que pouvez-vous faire

• Examinez et restreignez les règles d'accès Tailscale SSH pour utiliser des paires source-destination uniques, en évitant les octrois larges basés sur des tags ou des identités.
• Désactivez le transfert de port SSH sur le service hébergé de Tailscale lorsque possible ; pour les utilisateurs de headscale, supposez que tous les octrois SSH fournissent un accès root.
• Supprimez les permissions de connecteur d'application des appareils qui n'en ont pas explicitement besoin afin d'éviter le routage de trafic non autorisé.
• Supprimez toutes les redirections tailscale serve pointant vers des sockets Unix pour réduire l'exposition à l'élévation de privilèges locale.
• Activez l'expiration des clés de nœud pour garantir que les clés d'appareil volées ne restent pas valides indéfiniment.
• Si un appareil est suspecté d'être compromis, supprimez-le immédiatement du plan de contrôle plutôt que de simplement le réinstaller, car les clés pourraient avoir été copiées.