Tailscale gấp rút vá lỗ hổng "Tailworm": 11 phát hiện, 6 mức nghiêm trọng, lỗi có thể lây lan như sâu máy tính

Tailscale đang chuẩn bị phát hành bản cập nhật máy khách để khắc phục các lỗ hổng leo thang đặc quyền trong Tailscale SSH, sau khi thông tin chi tiết về những lỗi này bị công bố công khai vào cuối tuần trước. Bộ lỗ hổng được đặt tên là Tailworm, gồm 11 phát hiện ảnh hưởng đến phiên bản máy khách 1.104.2 và headscale 0.29.5 — máy chủ điều khiển mã nguồn mở mà các tổ chức có thể tự vận hành.

Minh họa lỗ hổng bảo mật

Bối cảnh: Tailscale SSH là gì và vì sao lỗi này nguy hiểm?

Tailscale cung cấp dịch vụ mesh VPN sử dụng giao thức WireGuard để kết nối các thiết bị và dịch vụ của một tổ chức qua mạng riêng ngang hàng (peer-to-peer). Điểm khác biệt của Tailscale SSH là cơ chế cấp quyền truy cập dựa trên danh tính thiết bị và chính sách mạng thay vì mật khẩu hay khóa SSH truyền thống.

Chính cơ chế này khiến lỗi trở nên đáng lo: theo báo cáo của Cyberdione Labs, Tailscale SSH thực hiện một số thao tác chuyển tiếp (forwarding) với đặc quyền root, trong khi các lớp bảo vệ nhằm giới hạn những thao tác đó lại có thể bị vượt qua.

Kẻ tấn công đã chiếm được một thiết bị có thể lợi dụng lỗi này để tấn công bất kỳ máy chủ nào mà thiết bị đó được phép truy cập qua Tailscale SSH — miễn là quy tắc truy cập cho phép chuyển tiếp. Trong thử nghiệm tại phòng lab, kết quả là chiếm được quyền root trên máy chủ mục tiêu và đánh cắp khóa dùng để đưa các thiết bị lạ vào mạng.

Điểm xâm nhập ban đầu có thể đến từ những phương thức quen thuộc như lừa đảo phishing, một ứng dụng web có lỗ hổng hoặc một gói phần mềm độc hại.

Lỗi "lây lan": từ một máy đến toàn bộ mạng trong tích tắc

Điều khiến Tailworm gây chú ý là khả năng lây lan như sâu máy tính. Vì không cần thông tin đăng nhập của người dùng, một cuộc tấn công tự động nối chuỗi các lỗi này có thể di chuyển từ máy này sang máy khác trên mọi máy chủ mà chính sách cấp quyền SSH truy cập — với tốc độ dưới một giây mỗi bước nhảy và không cần bất kỳ tương tác nào của người dùng.

"Hầu hết các vấn đề chúng tôi xác định được cho đến nay liên quan đến những gì xảy ra sau khi ai đó đã được cấp quyền kết nối, đặc biệt là cách xử lý đặc quyền Unix và chuyển tiếp SSH. Trong một số trường hợp, một phiên làm việc có thể làm được nhiều hơn mức mà người dùng cục bộ được cấu hình nên được phép làm," — Mike Shaver, Phó Chủ tịch Kỹ thuật của Tailscale, chia sẻ trên Reddit.

Ông Shaver nhấn mạnh thêm: "Dù đây là mối lo nghiêm trọng, nó không giống với việc một kẻ tấn công chưa xác thực có thể kết nối tới máy tùy ý, nhưng tác động tiềm tàng phụ thuộc vào cách cấu hình quyền truy cập SSH."

Báo cáo còn mô tả các lỗi trong tính năng thử nghiệm app connector, tính năng Serve, headscale và thành phần relay của máy khách. Những lỗi này có thể bị khai thác để truy cập các dịch vụ metadata trên cloud và mạng nội bộ trong khi vượt qua quy tắc truy cập, phơi bày giao diện quản trị của một node cho các peer từ xa, hoặc gây ra tình trạng từ chối dịch vụ (DoS).

Tranh cãi về việc công bố không phối hợp

Cyberdione Labs đã công bố báo cáo trước khi có bất kỳ bản vá nào, động thái này vấp phải chỉ trích trên mạng xã hội. Nhóm nghiên cứu biện luận rằng việc nâng cao nhận thức nhanh chóng sẽ đẩy nhanh quá trình khắc phục.

Đây là một tranh luận quen thuộc trong giới bảo mật: giữa nguyên tắc công bố có phối hợp (coordinated disclosure) nhằm cho nhà sản xuất thời gian sửa lỗi, và quan điểm rằng người dùng cần biết càng sớm càng tốt để tự phòng vệ.

Tailscale nói bản vá đã cận kề

Tailscale cho biết họ đã tiến hành điều tra riêng, có tham vấn từ các chuyên gia bảo mật bên ngoài, trước khi báo cáo được gửi đến. Trong cập nhật ngày thứ Hai, công ty cho biết bản vá đã có cho hầu hết các vấn đề và đang nhắm phát hành máy khách đã vá vào cuối ngày thứ Ba, 27/10, tùy thuộc kết quả kiểm thử. Một thông báo bảo mật và tài liệu kỹ thuật chi tiết sẽ được công bố sau khi bản cập nhật ra mắt.

Báo cáo Tailworm cập nhật ngày thứ Ba cho hay phần sửa lỗi cho một số phát hiện đã xuất hiện trong các kho mã nguồn công khai của Tailscale, nhưng chưa có bản phát hành chính thức nào chứa chúng.

Chuyên gia bảo mật làm việc

Khuyến nghị cho tổ chức và người dùng tại Việt Nam

Tailscale tuyên bố: "Dựa trên đánh giá hiện tại, chúng tôi không khuyến nghị mọi người tắt Tailscale SSH." Thay vào đó, cho đến khi bản vá xuất hiện, các tổ chức nên:

• Rà soát lại chính sách truy cập SSH, thu hẹp phạm vi cấp quyền cho các thiết bị và người dùng thực sự cần thiết.
• Tắt tính năng chuyển tiếp SSH (SSH forwarding) ở những nơi không cần dùng — biện pháp này giảm thiểu được nhiều phát hiện nghiêm trọng nhất.
• Theo dõi thông báo bảo mật chính thức của Tailscale và cập nhật máy khách ngay khi bản vá được phát hành.
• Với các doanh nghiệp Việt Nam đang dùng Tailscale để kết nối hạ tầng cloud hoặc mạng nội bộ, nên rác lại nhật ký truy cập để phát hiện dấu hiệu bất thường, đồng thời kiểm tra các quy tắc ACL trong file chính sách.

Hiện cả Tailscale và báo cáo Tailworm đều không đề cập đến việc lỗ hổng đã bị khai thác trong thực tế.

SecurityWeek

Góc nhìn: Bài học về quản trị rủi ro chuỗi cung ứng phần mềm

Sự cố Tailworm là lời nhắc nhở rằng các công cụ hạ tầng mạng — dù được thiết kế để tăng cường bảo mật — cũng có thể trở thành bề mặt tấn công. Với các đội DevOps và kỹ sư hạ tầng, bài học ở đây là:

• Nguyên tắc đặc quyền tối thiểu cần được áp dụng cả với các công cụ truy cập, không chỉ với tài khoản người dùng.
• Tính năng chuyển tiếp và các tiện ích mở rộng tiềm ẩn nhiều rủi ro hơn ta tưởng — hãy bật chúng một cách có chủ đích.
• Quy trình vá lỗi khẩn cấp nên được chuẩn bị sẵn, vì trong các tình huống công bố không phối hợp, thời gian phản ứng được tính bằng giờ chứ không phải bằng tuần.

Với người dùng cá nhân và các startup công nghệ tại Việt Nam đang dùng Tailscale cho mạng riêng ảo, việc chủ động kiểm tra cấu hình và cập nhật lên phiên bản mới nhất ngay khi có là cách phòng thủ đơn giản và hiệu quả nhất.