حذر باحث أمني من مجموعة ثغرات غير مُصححة في ميزة Tailscale SSH قد تسمح للمهاجمين بتحويل اختراق جهاز واحد داخل شبكة Tailscale إلى وصول بصلاحيات الجذر (Root) على خوادم أخرى متصلة بالشبكة نفسها. وتكتسب هذه النتائج أهمية خاصة نظرًا للانتشار الواسع لمنصة Tailscale بين المؤسسات التي تعتمد على الشبكات الخاصة الافتراضية الحديثة والوصول الآمن عن بُعد إلى الخوادم والموارد الداخلية.
ويشير التقرير، الذي نشرته الباحثة الأمنية إيريكا وينديش من Cyberdione Labs تحت اسم “Tailworm”، إلى أن سيناريو الاستغلال لا يتطلب سرقة كلمات مرور أو مفاتيح SSH، بل يعتمد فقط على امتلاك المهاجم موطئ قدم داخل جهاز واحد مسموح له بالاتصال بالخادم المستهدف وفقًا لقواعد الوصول المعتمدة داخل الشبكة.
كيف يتحول جهاز مخترق إلى بوابة للسيطرة على الشبكة؟
تعتمد آلية Tailscale SSH على فلسفة مختلفة عن بروتوكول SSH التقليدي. ففي حين تعتمد الخوادم المعتادة على التحقق من كلمات المرور أو المفاتيح العامة والخاصة، تركز Tailscale على هوية الجهاز نفسه وقواعد الوصول المحددة مسبقًا داخل الشبكة.
وبسبب هذا التصميم، فإن المهاجم الذي ينجح أولًا في اختراق جهاز داخل الشبكة، سواء عبر تطبيق ويب ضعيف أو حزمة برمجية خبيثة أو هجوم تصيد أو بيانات اعتماد مسروقة، يستطيع استغلال الثغرات المكتشفة للانتقال إلى أجهزة أخرى دون الحاجة إلى أي بيانات اعتماد إضافية.
وأظهرت الاختبارات المعملية التي أجرتها الباحثة على الإصدار 1.104.2 من Tailscale والإصدار 0.29.5 من Headscale، وهو الخادم مفتوح المصدر الذي تستخدمه بعض المؤسسات بدلًا من الخدمة المستضافة رسميًا، أن جلسة SSH عادية يمكن أن تتسبب عبر آليات توجيه المنافذ (Port Forwarding) في جعل خدمة Tailscale العاملة بصلاحيات الجذر تتصل بمقبس نظام لا ينبغي الوصول إليه إلا من قبل المستخدم Root.
وفي سيناريوهات التجربة، أدى ذلك إلى الحصول على امتيازات الجذر وقراءة ملفات حساسة مثل ملف كلمات المرور الخاص بالنظام خلال فترة وجيزة ودون أي صلاحيات إدارية مسبقة.
كما تمكنت الباحثة من استبدال مقبس مملوك للنظام بآخر يتحكم فيه المهاجم، ما أتاح تنفيذ أوامر مباشرة بامتيازات الجذر ضد بعض الخدمات المستهدفة.
آلية انتشار شبيهة بالديدان الإلكترونية
أخطر ما توصل إليه التقرير يتمثل في إمكانية تحويل الاختراق إلى ما يشبه الديدان الإلكترونية القادرة على الانتشار الذاتي داخل الشبكة.
ففي إحدى سلاسل الهجوم، جرى التحايل على آلية أمنية كانت مصممة لتقييد الملفات التي يمكن الوصول إليها عبر التوجيه، وذلك من خلال استغلال سباق زمني بين مرحلة التحقق من الملف ومرحلة استخدامه فعليًا داخل النظام.
وبحسب الباحثة، أتاح هذا الأسلوب سرقة مفتاح مخصص لإضافة أجهزة جديدة إلى الشبكة. وبعد الحصول على هذا المفتاح يمكن للمهاجم تسجيل جهازه الخاص داخل الشبكة بوصفه جهازًا موثوقًا.
وفي البيئات التي لا تستخدم ميزة Tailnet Lock الأمنية، تمكنت التجارب من إكمال العملية بكامل مراحلها بنجاح. أما في الشبكات التي فعّلت هذه الخاصية فقد أمكن اعتراض بعض الأسرار المطلوبة أثناء انتقالها، لكن لم ينجح الهجوم في إتمام آخر مراحله.
ووصفت وينديش النتيجة النهائية بأنها “قابلة للانتشار الدودي”، حيث يمكن لجهاز مخترق واحد الوصول تلقائيًا إلى جميع الأجهزة التي تسمح سياسات الشبكة بالاتصال بها، دون الحاجة إلى كلمات مرور أو مفاتيح أو أي تفاعل من المستخدمين.
وبحسب نتائج الاختبارات، استغرقت كل خطوة من عملية الانتشار أقل من ثانية واحدة داخل البيئة المعملية، مما يعني أن الشبكات ذات السياسات واسعة النطاق قد تواجه خطر انتشار سريع للهجوم في حال تحقق السيناريو الكامل.
جدل حول خطورة النتائج ورد Tailscale
رغم خطورة النتائج، لم تصدر شركة Tailscale حتى الآن نشرة أمنية رسمية أو رقم CVE أو تحديثًا يعالج الثغرات المبلغ عنها.
لكن الشركة أكدت أنها تسلمت التقرير وتعمل بالفعل على مراجعة النقاط المثارة. وأوضح مايك شيفر، نائب رئيس الهندسة في الشركة، أن فرق Tailscale كانت تبحث بعض هذه الجوانب بالتعاون مع خبراء أمنيين خارجيين حتى قبل نشر التقرير، وأن الشركة ما تزال تقيم البيئات المتأثرة بدقة.
كما شددت الشركة على أنها لا توصي حاليًا جميع المستخدمين بإيقاف Tailscale SSH بالكامل، مشيرة إلى أن نطاق التأثر يعتمد على كيفية إعداد الشبكة وقواعد الوصول المطبقة فيها.
وأثارت النتائج نقاشًا داخل الأوساط الأمنية، حيث اعتبر بعض الباحثين أن وصف الهجوم بأنه “قابل للانتشار الدودي” قد يكون مبالغًا فيه، بينما رأى آخرون أن إمكانية الوصول إلى امتيازات الجذر تمثل تهديدًا بالغ الخطورة بغض النظر عن التوصيف المستخدم.
وتجدر الإشارة إلى أن مشكلة SSH ليست سوى واحدة من أصل 11 ملاحظة أمنية تناولها تقرير Tailworm، الذي شمل أيضًا موصلات التطبيقات App Connectors وميزة Serve وخوادم DERP الوسيطة ومنصة Headscale.
وأشار التقرير إلى أن بعض النتائج الأخرى، وخصوصًا تلك المرتبطة بميزة App Connectors، قد تكون أكثر تأثيرًا لدى بعض المؤسسات، إذ تسمح لمستخدم يمتلك صلاحيات محددة بتوجيه حركة المرور إلى وجهات لم توافق عليها فرق الأمن، بما في ذلك خدمات البيانات الوصفية الخاصة بمزودي الحوسبة السحابية، والتي قد تمنح بدورها بيانات اعتماد شديدة الحساسية.
إجراءات الحماية الموصى بها حاليًا
في ظل غياب تصحيح أمني رسمي، يوصي الباحثون باتخاذ مجموعة من الإجراءات الوقائية الفورية للحد من المخاطر المحتملة.
وتشمل هذه الإجراءات مراجعة قواعد Tailscale SSH بحيث تقتصر على علاقات اتصال محددة بين جهاز مصدر وجهاز هدف واحد، بدلًا من القواعد العامة واسعة النطاق التي تعتمد على الهوية أو الوسوم.
كما يُنصح بإيقاف خاصية SSH Port Forwarding متى كان ذلك ممكنًا، وإزالة صلاحيات App Connectors من الأجهزة غير المحتاجة إليها، والتخلص من أي إعدادات Tailscale Serve تعتمد على توجيه الاتصالات إلى مقابس Unix.
ومن بين الإجراءات المهمة أيضًا تفعيل انتهاء صلاحية مفاتيح الأجهزة دوريًا، لأن إعادة تهيئة الجهاز المخترق لا تكفي لإبطال المفاتيح التي ربما يكون المهاجم قد نسخها سابقًا.
كذلك توصي Tailscale بتفعيل وضع SSH Check Mode وإجراء التحديثات التلقائية بشكل مستمر، رغم أن هذا الوضع لا يعالج مشكلة تصعيد الصلاحيات نفسها، بل يضيف فقط طبقة تحقق إضافية قبل بدء جلسات الاتصال.
وتسلط هذه الاكتشافات الضوء مجددًا على التحديات الأمنية المتزايدة التي تواجه منصات الشبكات الحديثة، حيث لم تعد المخاطر مرتبطة فقط باختراق جهاز منفرد، بل بقدرة المهاجم على تحويل نقطة دخول واحدة إلى سيطرة واسعة النطاق تمتد عبر كامل البنية التحتية خلال لحظات إذا لم تُصمم سياسات الوصول والعزل بعناية كافية.
