Lỗ hổng chưa được vá trong Tailscale SSH cho phép leo thang quyền root trên toàn mạng

Nhà nghiên cứu bảo mật Erica Windisch đã công bố các phát hiện trong tuần này, tiết lộ một lỗ hổng nghiêm trọng trong Tailscale và giải pháp tự lưu trữ thay thế của nó, headscale. Lỗi này cho phép kẻ tấn công đã xâm nhập vào một thiết bị duy nhất leo thang đặc quyền lên mức root trên các máy chủ khác trong cùng mạng. Tính đến ngày 25 tháng 10 năm 2026, nhà cung cấp vẫn chưa phát hành bản vá chính thức hay định danh CVE nào.

Chuyện gì đã xảy ra

Lỗ hổng, được mô tả chi tiết trong báo cáo mang tên Tailworm bởi Cyberdione Labs, ảnh hưởng đến phiên bản Tailscale 1.104.2 và headscale 0.29.5. Windisch đã chứng minh rằng nếu Tailscale SSH được cấu hình để cho phép chuyển tiếp cổng, một kẻ tấn công kiểm soát một thiết bị được cấp quyền có thể khai thác hệ thống để giành quyền truy cập root trên các máy đích. Cuộc tấn công không yêu cầu đánh cắp mật khẩu hoặc khóa, vì Tailscale SSH xác thực thiết bị chứ không phải người dùng. Thay vào đó, nó dựa vào điểm tựa ban đầu thu được thông qua các vector phổ biến như phishing (lừa đảo) hoặc ứng dụng web dễ bị tổn thương.

Trong các thử nghiệm phòng thí nghiệm kéo dài ba ngày, nhà nghiên cứu đã chỉ ra rằng kỹ thuật khai thác có thể lan truyền nhanh chóng khắp mạng. Quá trình này liên quan đến việc sử dụng chuyển tiếp cổng SSH tiêu chuẩn để truy cập các socket hệ thống dành riêng cho root, cho phép kẻ tấn công đọc các tệp nhạy cảm như tệp mật khẩu hệ thống. Trong một số kịch bản, kẻ tấn công có thể thay thế các socket thuộc về root để thực thi lệnh trực tiếp. Báo cáo mô tả khả năng lan truyền là "wormable" (có thể lây lan như sâu), nghĩa là một thiết bị bị xâm nhập có thể lây nhiễm sang các thiết bị khác được phép theo quy tắc truy cập trong vòng dưới một giây mỗi bước, mặc dù điều này chỉ được quan sát thấy trong môi trường phòng thí nghiệm được kiểm soát.

Tailscale đã thừa nhận báo cáo nhưng vẫn chưa đưa ra bản sửa lỗi. Mike Shaver, phó chủ tịch phụ trách kỹ thuật tại Tailscale, tuyên bố trên Reddit rằng công ty đang làm việc với các chuyên gia bảo mật bên ngoài để giải quyết các vấn đề. Ông lưu ý rằng họ vẫn đang xác định những cấu hình cụ thể nào bị ảnh hưởng và khuyên không nên tắt hoàn toàn Tailscale SSH cho tất cả người dùng. Việc công bố thông tin đã gây ra tranh luận, với Windisch mô tả đây là báo cáo nhưng không phối hợp, trong khi một số thành viên cộng đồng phê phán việc công khai trước khi có bản vá sẵn sàng.

Chi tiết chính

• Lỗ hổng ảnh hưởng đến Tailscale v1.104.2 và headscale v0.29.5, cụ thể khi tính năng chuyển tiếp cổng SSH được bật.
• Kẻ tấn công có thể giành quyền truy cập root trên máy chủ mục tiêu mà không cần đánh cắp mật khẩu hoặc khóa, lợi dụng cơ chế xác thực dựa trên thiết bị.
• Trên headscale v0.29.5, chuyển tiếp cổng SSH không thể bị vô hiệu hóa, nghĩa là mọi quyền truy cập SSH đều cung cấp hiệu quả quyền truy cập root vào máy đích.
• Chuỗi khai thác có thể bắt giữ các khóa đăng ký để kết nối các máy do kẻ tấn công kiểm soát vào mạng, trừ khi Tailnet Lock được kích hoạt.
• Tailscale chưa phát hành bản vá, CVE hoặc bản tin bảo mật tính đến ngày 25 tháng 10 năm 2026.
• Các quy tắc truy cập được viết dưới dạng cặp nguồn-đích đơn lẻ là biện pháp kiểm soát duy nhất ngăn chặn sự lây lan trong quá trình thử nghiệm.

Bối cảnh

Tailscale là một công cụ phổ biến để tạo các mạng riêng tư an toàn giữa các thiết bị, thường được các nhà phát triển và doanh nghiệp nhỏ sử dụng cho truy cập từ xa và dịch vụ nội bộ. Nó sử dụng kiến trúc mạng lưới (mesh network) nơi các thiết bị kết nối trực tiếp với nhau. Tailscale SSH là một tính năng đơn giản hóa quyền truy cập shell an toàn bằng cách quản lý xác thực thông qua lớp danh tính Tailscale thay vì khóa SSH hoặc mật khẩu truyền thống. Headscale là một cài đặt mã nguồn mở, tự lưu trữ của máy chủ điều khiển Tailscale, cho phép các tổ chức chạy hạ tầng phối hợp của riêng mình thay vì phụ thuộc vào dịch vụ lưu trữ của Tailscale.

Chuyển tiếp cổng trong SSH cho phép lưu lượng truy cập được đường hầm hóa qua kết nối mã hóa để truy cập các dịch vụ trên máy từ xa. Mặc dù hữu ích cho phát triển và quản trị, nó có thể giới thiệu rủi ro bảo mật nếu không được hạn chế cẩn thận. Trong trường hợp này, tương tác giữa xác thực thiết bị của Tailscale và chuyển tiếp cổng SSH tạo ra một con đường cho việc leo thang đặc quyền. Thuật ngữ "wormable" đề cập đến phần mềm độc hại có thể tự sao chép và lan truyền qua mạng mà không cần can thiệp của người dùng, đây là mối lo ngại đáng kể đối với các quản trị viên mạng quản lý nhiều thiết bị được kết nối.

Tại sao điều này quan trọng

Đối với các nhóm vận hành phần mềm riêng, đặc biệt là những nhóm sử dụng giải pháp tự lưu trữ như headscale, lỗ hổng này đặt ra rủi ro nghiêm trọng đối với tính toàn vẹn của hạ tầng. Vì người dùng headscale không thể vô hiệu hóa chuyển tiếp cổng SSH trong phiên bản 0.29.5, bất kỳ thiết bị nào được cấp quyền truy cập SSH đều tiềm ẩn nguy cơ trở thành cổng vào cho việc xâm phạm ở cấp độ root trên máy chủ mục tiêu. Điều này làm suy yếu nguyên tắc đặc quyền tối thiểu, một nền tảng cốt lõi của quản trị hệ thống an toàn. Các công ty vừa và nhỏ thường dựa vào những công cụ này vì sự tiện lợi trong quản lý, nhưng sự cố này nhấn mạnh những đánh đổi giữa sự thuận tiện và kiểm soát bảo mật.

Việc thiếu bản vá ngay lập tức có nghĩa là các quản trị viên phải dựa vào các thay đổi cấu hình để giảm thiểu rủi ro. Điều này đòi hỏi hiểu biết sâu sắc về topo mạng và quy tắc truy cập, có thể là thách thức đối với các nhóm nhỏ hơn với nguồn lực bảo mật hạn chế. Tiềm năng lây lan nhanh chóng, tự động có nghĩa là một vi phạm duy nhất, chẳng hạn như một laptop hoặc máy chủ bị xâm nhập, có thể dẫn đến việc chiếm quyền kiểm soát toàn bộ mạng. Điều này nhấn mạnh nhu cầu về giám sát mạnh mẽ và kiểm soát truy cập nghiêm ngặt trong các môi trường tự lưu trữ.

Bạn có thể làm gì

• Xem xét và hạn chế các quy tắc truy cập Tailscale SSH để sử dụng các cặp nguồn-đích đơn lẻ, tránh các cấp quyền rộng rãi dựa trên thẻ (tags) hoặc danh tính.
• Vô hiệu hóa chuyển tiếp cổng SSH trên dịch vụ lưu trữ của Tailscale khi có thể; đối với người dùng headscale, hãy giả định rằng mọi quyền truy cập SSH đều cung cấp quyền truy cập root.
• Xóa quyền truy cập app connector khỏi các thiết bị không yêu cầu rõ ràng chúng để ngăn chặn định tuyến lưu lượng trái phép.
• Xóa bất kỳ lệnh tailscale serve chuyển tiếp nào trỏ tới Unix sockets để giảm phơi nhiễm với leo thang đặc quyền cục bộ.
• Kích hoạt hết hạn khóa nút (node-key expiry) để đảm bảo rằng các khóa thiết bị bị đánh cắp không còn hiệu lực vĩnh viễn.
• Nếu nghi ngờ một thiết bị bị xâm nhập, hãy xóa nó khỏi bảng điều khiển (control plane) ngay lập tức thay vì chỉ cài đặt lại hình ảnh (reimaging), vì các khóa có thể đã bị sao chép.