Tailscale SSHに重大な脆弱性、別のサーバでroot権限取得の恐れ - 修正版公開

Tailscaleは10月28日(現地時間)、「Tailscale SSH: Findings and fixes」において、Tailscale SSHなどに存在する複数の脆弱性について、調査結果と修正内容を公表した。修正版「v1.104.4」を公開し、4件のセキュリティ情報(TS-2026-014～TS-2026-017)を発表した。

今回の問題は、Cyberdione Labsのセキュリティ研究者Erica Windisch氏が公開した報告書「Tailworm」で指摘されたもの。報告書では、実験環境において、侵害された端末から別のサーバでroot権限を取得したり、端末登録用の鍵を窃取したりする攻撃が実証されている。ただし、実際の運用環境で同様の攻撃が確認されたわけではない。

Tailscale SSHの脆弱性、別のサーバでroot権限を取得する恐れ

Windisch氏は、Tailscaleクライアントエージェント v1.104.2とHeadscale v0.29.5を使用し、脆弱性を検証した。

Tailscale SSHは、端末の識別情報とアクセス規則に基づいてSSH接続を許可する仕組みを採用している。攻撃者がアクセスを許可された端末を侵害した場合、SSHポート転送などを悪用し、接続可能な別のサーバでroot権限を取得する恐れがある。

報告書では、SSHポート転送を利用してroot権限でのみアクセスできるシステムソケットに接続する手法や、ソケットの置き換えによってroot権限でコマンドを実行する手法が実証された。さらに、ファイルの確認と使用の間に生じる時間差(TOCTOU問題)を悪用し、端末登録用の鍵を窃取する攻撃も確認された。

窃取した鍵を使って攻撃者の端末をネットワークに参加させる攻撃は、TailscaleのTailnet Lock機能が無効な環境で成功した。一方、同機能が有効な環境では、端末登録までは完了しなかった。

実験では、アクセスを許可された端末へ攻撃が連鎖し、各段階を1秒未満で進められたという。ただし、実際の運用環境で同様の攻撃が確認されたわけではない。

Tailscaleは、今回の問題について、自己増殖するマルウェアが自動的に拡散するものではなく、アクセス規則で許可された接続範囲内での横展開だと説明している。

Tailscaleが修正版「v1.104.4」を公開、速やかな更新を推奨

Tailscaleは10月26日、「Tailscale SSH: Investigation and remediation update」において、問題を調査し、修正に取り組んでいることを公表した。その後、10月28日に修正版「v1.104.4」を公開した。

同社は、Tailscale SSHにおいて、認証されたSSHセッションが特定の条件下で、本来許可されているローカルユーザーの権限を超えた操作を実行できる問題があったと説明している。

特に、SSHのUnixソケット転送処理では、root権限で動作するTailscaleプロセスが、本来はアクセスできないソケットへの接続を可能にしていた。修正版では、root権限ではなく、認証されたユーザーの権限でソケット転送を実行するよう変更した。

Tailscaleが公開したセキュリティ情報は次の4件。

• TS-2026-014：Tailscale SSHのUnixソケット転送を悪用し、root権限でのみアクセス可能なソケットに接続できる脆弱性
• TS-2026-015：Tailscale SSHのセッション処理でメモリーを大量消費させ、サービスを停止させる可能性がある脆弱性
• TS-2026-016：Tailscale ServeのUnixソケット転送を通じて、権限の高いローカルAPIなどにアクセスできる脆弱性
• TS-2026-017：Tailscale ServeのTLS設定において、複数のマウント間で権限に関するヘッダーが誤って適用される可能性がある脆弱性

Tailscaleは、Tailscale SSHの利用者に対してv1.104.4以降への更新を推奨するとともに、次の対策を案内している。

• SSHアクセスポリシーを確認し、接続を必要とするユーザーとデバイスにアクセスを限定する
• 機密性の高いシステムでは、接続前に追加認証を求めるSSHチェックモードの利用を検討する
• 直ちに更新できない場合は、必要に応じてSSHポート転送を無効にする

SSHポート転送を無効にする軽減策としては、tailscaledサービスの環境変数にTS_SSH_DISABLE_FORWARDING=1を設定し、サービスを再起動する方法を案内している。この設定により、Tailscale SSH全体を停止せずにポート転送機能を無効化できる。

また、研究者の報告書では、端末が侵害されて鍵を窃取された場合、端末の再イメージ化だけでは鍵を失効できない可能性があるとして、管理画面から該当端末を削除することも推奨している。

Tailscaleは、今回の問題について、脆弱性の修正に加え、同種の問題を防ぐための構造的な対策も導入したと説明している。利用者には修正版への更新とともに、アクセス規則や権限設定を改めて確認することが求められる。