TailwormInterne Grenzen
neu prüfen.

Für alle, die Tailscale / headscale verwenden.
Prüfen Sie zuerst, wer SSH-Zugriff erhält und welche Rechte nach dem Verbindungsaufbau gelten.

Was Sie heute prüfen sollten ↓Als animiertes Briefing mit 6 Szenen ansehen →

Stichtag: 23:18 JST / 14:18 UTC. Die Primärquellen wurden danach abgerufen.
Forschungsseite und Stellungnahmen können sich ändern; die abgerufenen Texte sind keine unveränderlichen Abbilder des damaligen Stands.

Untersuchungsgegenstand1.104.2 / 0.29.5Tailscale / headscale

AnbieterUntersuchung und Behebung laufenBetroffene Konfigurationen werden geprüft

Version mit Tailworm-KorrekturHier noch nicht bestätigtVon der Zertifikatskorrektur unterscheiden

01 / EIGENE EXPOSITION PRÜFEN

Welche Funktionen verwenden Sie?

Dies ist eine Zusammenfassung des Reproduktionsberichts der Forscherin. Im Rahmen dieser Untersuchung wurde kein PoC ausgeführt. Die 11 Punkte enthalten auch Hinweise zu Konfiguration und Bedrohungsmodell; sie sind weder 11 CVEs noch 11 bestätigte Kompromittierungen.

SSH / BEFUNDE 1–3, 5

Tailscale SSH

Voraussetzung sind die Verbindungserlaubnis zu einem Knoten mit aktiviertem SSH und die jeweiligen Weiterleitungsrechte. Laut Bericht können Unix-Socket-Operationen durch root und Race Conditions bei Pfaden Berechtigungsgrenzen überschreiten.

Prüfen: aktive Knoten, SSH-Regeln, unnötige Weiterleitungen

SELBST BETRIEBEN / BEFUND 6

headscale

Für 0.29.5 werden Speichererschöpfung und Cache-Verdrängung über den öffentlich erreichbaren Registrierungspfad beschrieben. Die Forscherin weist außerdem darauf hin, dass SSH-Weiterleitungen nicht unterbunden werden können.

Prüfen: öffentliche Erreichbarkeit, SSH-Freigaben, Speicher und Registrierungsüberwachung

EXPERIMENTELL / BEFUND 4

conn25-Konnektor

Laut Bericht kann ein Gerät mit der capability zur conn25-Nutzung das tatsächliche Ziel des Konnektors wählen. Prüfen Sie die Pfade zu LAN, Metadatendiensten und Clustern.

Prüfen: conn25-Einsatz, Nutzungsrechte, ausgehende Verbindungen zu tatsächlichen Zielen

SERVE / BEFUNDE 7–11

Serve / Funnel

Dazu gehören TCP-Weiterleitungen an privilegierte Sockets, Race Conditions nach der Konfiguration, die Bindung an alle Schnittstellen und die Autorisierung mehrerer Mounts. Die Bedingungen hängen von der Operator-Konfiguration und der Autorisierung in der Anwendung ab.

Prüfen: Weiterleitungskonfiguration, gebundene Schnittstellen, Backend-Autorisierung

Speichererschöpfung beim DERP client setzt voraus, dass dieser mit einem bösartigen relay verbunden werden kann. Daraus folgt nicht, dass alle Nutzer über denselben Pfad betroffen sind. Details und Vorbehalte zu den einzelnen Punkten →

02 / HEUTE HANDELN

Prüfen und Berechtigungen einschränken.

Die tatsächliche SSH-Erreichbarkeit erfassen. Beschränken Sie den Zugriff auf notwendige Nutzer, Geräte und Ziele und reduzieren Sie unnötige Weiterleitungen. Unterscheiden Sie gewöhnliche OpenSSH-Verbindungen von Tailscale SSH.
Bei wichtigen Hosts auch eine vorläufige SSH-Abschaltung erwägen. Entscheiden Sie erst, nachdem ein alternativer Verwaltungszugang geprüft wurde. Die Angabe eines Benutzers ohne root-Rechte allein verhindert die berichtete Rechteausweitung nicht nachweislich. Dies ist keine pauschale Abschaltempfehlung des Anbieters.
check mode ist keine Korrektur. Zusätzliche Authentifizierung beim Zugang ist hilfreich, beseitigt aber keine Berechtigungsprobleme innerhalb einer bereits erlaubten Sitzung.
headscale, Konnektoren und Serve getrennt prüfen. Kontrollieren Sie öffentliche Registrierungspfade, Speicherlimits, unnötige conn25-Rechte und Weiterleitungen an privilegierte Sockets. Eine IP-Firewall verhindert keine Race Conditions bei lokalen Sockets. Prüfen Sie auch Kubernetes-Egress-Beschränkungen am tatsächlichen Verbindungsweg.
Updates mit offiziellen Hinweisen abgleichen. Aktivieren Sie automatische Updates, wo dies möglich ist, und verfolgen Sie Hinweise zu korrigierten Versionen. Halten Sie betroffene Versionen, korrigierte Versionen und Maßnahmen an der Konfiguration getrennt fest.

Einstieg mit ausschließlich lesenden Befehlen. Veröffentlichen Sie keine Geheimnisse aus Ausgaben oder Konfigurationen.

tailscale version
tailscale serve status
tailscale funnel status

Prüfen Sie aktive Knoten und SSH-Richtlinien auch in der Verwaltungskonsole und der Bereitstellungskonfiguration. Offizielle CLI-Dokumentation / Offizielle SSH-Dokumentation

03 / BEI VERDACHT AUF KOMPROMITTIERUNG

Neu aufsetzen und Identitäten widerrufen.

Isolieren Sie betroffene Systeme und sichern Sie Beweise. Entfernen oder widerrufen Sie Geräte über die Steuerungsebene und erneuern Sie offengelegte Registrierungsschlüssel und API-Zugangsdaten. Prüfen Sie bei einer root-Kompromittierung auch, ob der state kopiert wurde. Eine Neuinstallation des Betriebssystems allein widerruft keine entwendeten Schlüssel. Ist ein signierender Knoten betroffen, berücksichtigen Sie auch die Schlüssel von Tailnet Lock.

Eindämmungsmaßnahmen der Forscherin / Offizielle Anleitung zum Entfernen von Geräten

04 / EINE ANDERE KORREKTUR

Ein Update auf 1.104.2
schließt die Tailworm-Maßnahmen nicht ab.

1.104.2 vom 10/21 behebt das eMudhra-Zertifikatsproblem TS-2026-013. Auch die Tailworm-Untersuchung bezieht sich auf diese Version. Installieren Sie die Zertifikatskorrektur und verfolgen Sie bestätigte Tailworm-Korrekturen gesondert.

Offizielle Tailscale-Sicherheitshinweise / Änderungsprotokoll / headscale-Veröffentlichungen

Forschungsberichte und bestätigte Tatsachen unterscheiden.

Forscherin: Erica Windisch / Cyberdione Labs. Testzeitraum: 10/22–24, Tailscale 1.104.2 und headscale 0.29.5. Es erfolgte keine unabhängige Reproduktion in realen Umgebungen. Der Anbieter untersucht betroffene Konfigurationen; dies wird nicht als Einzelbestätigung aller 11 Punkte gewertet. Eigene CVEs, CVSS-Werte und die niedrigste korrigierte Version sind hier noch nicht bestätigt.

Die genaue Versionshistorie der Forschungsseite und die Bearbeitungszeitpunkte der Reddit-Antworten sind nicht bestätigt. Später abgerufene Informationen werden nicht rückwirkend als gesicherter Stand vor 23:18 behandelt. Aufzeichnungen, Hashes und Untersuchungsgrenzen sind im Repository dokumentiert.