Elegir idioma

INFORME ESPECIAL · 2026-10-25 23:18 JST

TailwormRevisar los límites
internos.

Para quienes usan Tailscale / headscale.
Lo primero: a quién se permite usar SSH y qué privilegios tiene después de conectarse.

Qué revisar hoy ↓Ver la presentación animada de 6 pantallas →

Hora de referencia: 23:18 JST / 14:18 UTC. Las fuentes primarias se obtuvieron después de esa hora.
La página de investigación y las respuestas de las partes pueden actualizarse; no se consideran una copia inmutable de su contenido de entonces.

Objeto de la investigación1.104.2 / 0.29.5Tailscale / headscale
ProveedorInvestigación y correcciones en cursoConfiguraciones afectadas en evaluación
Versión que corrige TailwormSin confirmar en esta revisiónDistinguir de la actualización de certificados

01 / IDENTIFICA TU EXPOSICIÓN

¿Qué funciones utilizas?

Este es un resumen del informe de reproducción de la investigadora. No ejecutamos el PoC en esta revisión. Los 11 apartados incluyen advertencias sobre configuración y modelos de amenazas; no equivalen a 11 CVE ni a 11 intrusiones.

SSH / HALLAZGOS 1–3, 5

Tailscale SSH

Requiere permiso de conexión a un nodo con SSH habilitado y los permisos de reenvío correspondientes. El informe describe cómo operaciones de root sobre sockets Unix y condiciones de carrera en rutas permiten cruzar límites de privilegios.

Revisar: nodos habilitados, reglas SSH y reenvíos innecesarios
AUTOHOSPEDADO / HALLAZGO 6

headscale

En 0.29.5 se informa de agotamiento de memoria y expulsión de entradas de caché a través de la ruta de registro pública. La investigadora señala que tampoco se puede impedir el reenvío SSH.

Revisar: exposición pública, permisos SSH y supervisión de memoria y registros
EXPERIMENTAL / HALLAZGO 4

Conector conn25

Se señala que un dispositivo con la capability de uso de conn25 puede elegir el destino real del conector. Revisa las rutas hacia la LAN, los metadatos y los clústeres.

Revisar: uso de conn25, permisos de acceso y salida hacia los destinos reales
SERVE / HALLAZGOS 7–11

Serve / Funnel

Reenvío TCP hacia sockets privilegiados, condiciones de carrera tras la configuración, escucha en todas las interfaces y autorización de múltiples montajes, entre otros. Depende de la configuración del operador y de la autorización de la aplicación.

Revisar: configuración de reenvío, alcance de escucha y autorización del backend

El agotamiento de memoria del cliente DERP requiere que se le haga conectar a un relay malicioso. No se generaliza que todos los usuarios estén afectados por la misma vía. Detalles y reservas por apartado (en inglés) →

02 / ACTÚA HOY

Revisa y limita los permisos.

  1. Haz inventario del alcance real de SSH. Limita las conexiones a los usuarios, dispositivos y destinos necesarios, y reduce los reenvíos innecesarios. Distingue las conexiones mediante OpenSSH convencional de Tailscale SSH.
  2. Considera desactivar SSH temporalmente en hosts críticos. Decide después de verificar una vía de administración alternativa. No presupongas que especificar un usuario distinto de root evita esta escalada de privilegios. No es una recomendación del proveedor de desactivarlo para todos.
  3. No presentes check mode como una corrección. La autenticación adicional al entrar es útil, pero no resuelve los problemas de privilegios dentro de una sesión autorizada.
  4. Revisa headscale, los conectores y Serve por separado. Comprueba la ruta de registro pública, los límites de memoria, los permisos conn25 innecesarios y los reenvíos a sockets privilegiados. Un firewall IP no detiene condiciones de carrera en sockets locales. Verifica también las restricciones de salida de Kubernetes sobre la ruta real.
  5. Contrasta las actualizaciones con los avisos oficiales. Activa las actualizaciones automáticas donde sea posible y sigue los anuncios de versiones corregidas. Registra por separado las versiones afectadas, las corregidas y las mitigaciones de configuración.

Punto de partida de solo lectura. No publiques secretos incluidos en los resultados o en la configuración.

tailscale version
tailscale serve status
tailscale funnel status

Comprueba también los nodos habilitados y la política SSH en la consola de administración y en la configuración desplegada. Documentación oficial de CLI / Documentación oficial de SSH

03 / SI SOSPECHAS UNA INTRUSIÓN

Reconstruir y revocar identidades.

Aísla los sistemas y preserva las pruebas; elimina o revoca los dispositivos en el plano de control y renueva las claves de registro o credenciales API expuestas. Si root se vio comprometido, investiga si se copió el estado. Reinstalar el sistema operativo no revoca las claves extraídas. Si se comprometió un nodo firmante, considera también las claves de Tailnet Lock.

Procedimiento de contención de la investigadora / Eliminación oficial de dispositivos

04 / UNA CORRECCIÓN DISTINTA

Actualizar a 1.104.2
no da por resuelto Tailworm.

La versión 1.104.2 del 10/21 corrige TS-2026-013, el problema de certificados de eMudhra. La investigación Tailworm también analiza esa versión. Aplica la actualización de certificados y sigue por separado las correcciones confirmadas de Tailworm.

Avisos oficiales de Tailscale / Registro de cambios / Versiones de headscale

Distinguir los informes de investigación de los hechos confirmados.

Investigadora: Erica Windisch / Cyberdione Labs. Periodo de pruebas: 10/22–24; Tailscale 1.104.2 y headscale 0.29.5. No hemos confirmado una reproducción independiente en entornos reales. El proveedor investiga las configuraciones afectadas; no se considera que haya validado individualmente los 11 apartados. Esta revisión no confirma CVE específicos, puntuaciones CVSS ni una versión mínima corregida.

No se han confirmado el historial exacto de versiones del sitio de investigación ni las horas de edición de las respuestas de Reddit. No se atribuye retrospectivamente a la situación confirmada antes de las 23:18 información obtenida después. El repositorio conserva los registros, los hashes y las limitaciones de la investigación.