Un report firmato da Erica Windisch, ricercatrice di Cyberdione Labs, ha acceso i riflettori su 11 vulnerabilità che interessano Tailscale 1.104.2 e la versione headscale 0.29.5. La particolarità? Le falle sono state documentate e rese pubbliche prima che esistesse una patch, sollevando non poche discussioni nella community della sicurezza. I problemi sono stati verificati in laboratorio, ma al momento Tailscale non ha ancora pubblicato un bollettino ufficiale, né assegnato identificativi CVE, né tantomeno rilasciato una versione corretta del software.
Un disclosure senza rete di sicurezza
La scelta di Windisch di rendere noti i dettagli tecnici prima della disponibilità di una correzione è destinata a far discutere. Da un lato c'è la trasparenza verso gli utenti, dall'altro il rischio concreto che malintenzionati possano sfruttare le falle prima che venga distribuita una fix. La ricercatrice ha comunque precisato che i test sono stati condotti in un ambiente controllato e che le 11 problematiche riguardano aspetti diversi della rete privata virtuale e della sua implementazione open source headscale.
La risposta di Tailscale
Contattata per un commento, l'azienda ha dichiarato di essere al lavoro per analizzare nel dettaglio il report e preparare le contromisure necessarie. Tuttavia, non è ancora chiaro quando verrà rilasciata una patch né quale sarà la gravità ufficiale delle singole vulnerabilità. Nel frattempo, gli amministratori di sistema che utilizzano Tailscale o headscale sono invitati a monitorare la situazione e a limitare l'esposizione delle proprie istanze fino a quando non saranno disponibili aggiornamenti.
La vicenda riaccende il dibattito sulle pratiche di responsible disclosure: pubblicare 11 falle senza patch è un azzardo che potrebbe avere ripercussioni sia per gli utenti finali sia per la reputazione del progetto. Resta da vedere se Tailscale riuscirà a rispondere con la rapidità che la situazione richiede.
