Tailscale advierte de fallos en SSH que permiten escalada de privilegios a root

El equipo de seguridad de Tailscale está trabajando para parchear casi una docena de vulnerabilidades de seguridad que podrían explotarse para robar credenciales, provocar fallos en servidores, obtener privilegios de root y otras acciones maliciosas.

Tailscale desarrolla una VPN de malla definida por software basada en WireGuard que permite a los usuarios conectar computadoras, servidores e instancias en la nube desde cualquier lugar a la misma red de malla cifrada ("tailnet") mediante conexiones directas peer-to-peer (P2P).

Cyberdione Labs descubrió 11 fallos (conocidos colectivamente como Tailworm) que aún no tienen parches durante una auditoría de seguridad de Tailscale 1.104.2 y el servidor de control autoalojado headscale v0.29.5.

"Todos los hallazgos fueron verificados mediante reproducción en un entorno de laboratorio con software sin modificar y ya lanzado (tailscale v1.104.2, headscale v0.29.5)", dijo Erica Windisch, fundadora de Cyberdione Labs, quien reportó los fallos a Tailscale y publicó los detalles. "Es opinión de los investigadores que la rápida concienciación sobre estos fallos acelerará la remediación en los dispositivos afectados. Estas vulnerabilidades no fueron introducidas por los investigadores, sino descubiertas, y descubiertas con poco esfuerzo".

La tabla a continuación clasifica los problemas de seguridad según el componente afectado. El problema más crítico está en el servidor SSH de Tailscale y podría permitir a atacantes autorizados obtener ejecución de código con privilegios de root a través del reenvío de sockets Unix en una tailnet objetivo.

El lunes, el equipo de Tailscale dijo que recibió el informe de Cyberdione Labs y estaba trabajando en parches para abordar estos problemas de seguridad para el final del día.

Los desarrolladores también confirmaron que los fallos reportados son "graves", ya que podrían permitir a actores de amenazas con permisos en los sistemas objetivo realizar acciones con privilegios elevados.

"La mayoría de los problemas de Tailscale SSH que hemos identificado conciernen a la escalada de privilegios. En algunas circunstancias, alguien ya autorizado para conectarse a través de Tailscale SSH podría realizar acciones más allá de los permisos de su usuario local configurado, incluyendo potencialmente obtener privilegios elevados", dijo Tailscale. "Estos son problemas de seguridad graves y los estamos tratando como tales. La explotación depende de los permisos otorgados al usuario o dispositivo que se conecta, la configuración del sistema y otras condiciones. Continuamos verificando el alcance completo de los hallazgos y qué configuraciones pueden verse afectadas".

Sin embargo, a pesar de la gravedad de los problemas, Tailscale dijo que no recomienda que los usuarios deshabiliten la función Tailscale SSH.

"Si quieres ir a la parte más importante, según nuestra evaluación actual, no recomendamos que todos deshabiliten Tailscale SSH", dijo Mike Shaver, vicepresidente de Ingeniería de Tailscale.

En su lugar, el equipo de Tailscale compartió medidas que deberían mitigar algunos de estos fallos:

Revisar las políticas de acceso SSH. Limitar el acceso a los usuarios y dispositivos que lo necesiten.
Deshabilitar el reenvío SSH si no se necesita. Establecer TS_SSH_DISABLE_FORWARDING=1 en el entorno del servicio tailscaled y reiniciar el servicio. Esto deshabilita el reenvío SSH sin deshabilitar Tailscale SSH por completo, y mitiga varios de los hallazgos más graves.
Revisar el acceso a sistemas sensibles. Considerar endurecer temporalmente las políticas de acceso de Tailscale SSH mientras investigamos, para que solo los usuarios y dispositivos específicos que necesiten acceso puedan conectarse.

Los desarrolladores de Tailscale tienen como objetivo lanzar una nueva versión que corrija estos problemas para el final del martes 27 de octubre, e instaron a los usuarios a prepararse para actualizar y "aplicar la versión parcheada del cliente Tailscale cuando esté disponible".

Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones

Las puntuaciones generales de prevención pueden ocultar lo que sucede después del acceso inicial. Una vez que los atacantes usan credenciales válidas, la prevención cae drásticamente. El Informe Azul 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.