Choisir la langue

DOSSIER SPÉCIAL · 2026-10-25 23:18 JST

TailwormRéexaminer les frontières
intérieures.

Pour les utilisateurs de Tailscale / headscale.
À vérifier d’abord : qui peut se connecter en SSH et avec quels privilèges après connexion.

À vérifier aujourd’hui ↓Voir la présentation animée en 6 écrans →

Heure de référence : 23:18 JST / 14:18 UTC. Les sources primaires ont été récupérées après cette heure.
La page de recherche et les réponses des parties peuvent évoluer ; elles ne constituent pas une copie immuable du texte de l’époque.

Objet de l’étude1.104.2 / 0.29.5Tailscale / headscale
FournisseurInvestigation et corrections en coursConfigurations concernées en cours d’évaluation
Version corrigeant TailwormNon confirmée dans cette enquêteÀ distinguer de la mise à jour des certificats

01 / IDENTIFIER VOTRE EXPOSITION

Quelles fonctions utilisez-vous ?

Voici un résumé du rapport de reproduction de la chercheuse. Nous n’avons pas exécuté le PoC dans cette enquête. Les 11 rubriques comprennent aussi des précautions relatives à la configuration et au modèle de menace ; elles ne représentent ni 11 CVE ni 11 compromissions.

SSH / CONSTATS 1–3, 5

Tailscale SSH

Suppose une autorisation de connexion à un nœud où SSH est activé et les permissions de redirection correspondantes. Le rapport décrit un franchissement des limites de privilèges par des opérations root sur les sockets Unix et des conditions de concurrence sur les chemins.

À vérifier : nœuds activés, règles SSH et redirections inutiles
AUTO-HÉBERGÉ / CONSTAT 6

headscale

Sur 0.29.5, le rapport décrit un épuisement de mémoire et l’éviction d’entrées du cache par la voie d’enregistrement publique. La chercheuse indique aussi que la redirection SSH ne peut pas être empêchée.

À vérifier : exposition publique, permissions SSH et surveillance de la mémoire et des enregistrements
EXPÉRIMENTAL / CONSTAT 4

Connecteur conn25

Selon le rapport, un appareil disposant de la capability d’utilisation de conn25 peut choisir la destination réelle du connecteur. Vérifiez les chemins vers le LAN, les métadonnées et les clusters.

À vérifier : utilisation de conn25, permissions d’accès et trafic sortant vers les destinations réelles
SERVE / CONSTATS 7–11

Serve / Funnel

Redirection TCP vers des sockets privilégiés, conditions de concurrence après configuration, écoute sur toutes les interfaces et autorisation de plusieurs montages, entre autres. Dépend de la configuration de l’opérateur et des autorisations de l’application.

À vérifier : configuration des redirections, périmètre d’écoute et autorisations du backend

L’épuisement de mémoire du client DERP suppose qu’il soit amené à se connecter à un relais malveillant. Il ne faut pas en déduire que tous les utilisateurs sont exposés par la même voie. Détails et réserves par rubrique (en anglais) →

02 / AGIR AUJOURD’HUI

Vérifier et restreindre les permissions.

  1. Inventoriez la portée réelle de SSH. Limitez les connexions aux utilisateurs, appareils et destinations nécessaires, et réduisez les redirections inutiles. Distinguez les connexions via OpenSSH classique de Tailscale SSH.
  2. Envisagez de désactiver temporairement SSH sur les hôtes critiques. Décidez après avoir vérifié une autre voie d’administration. Ne supposez pas que le seul choix d’un utilisateur autre que root empêche cette élévation de privilèges. Le fournisseur ne préconise pas une désactivation générale.
  3. Ne présentez pas check mode comme un correctif. Une authentification supplémentaire à l’entrée est utile, mais ne résout pas les problèmes de privilèges au sein d’une session autorisée.
  4. Examinez séparément headscale, les connecteurs et Serve. Vérifiez la voie d’enregistrement publique, les limites de mémoire, les permissions conn25 inutiles et les redirections vers des sockets privilégiés. Un pare-feu IP n’arrête pas les conditions de concurrence sur les sockets locaux. Vérifiez aussi les restrictions de sortie Kubernetes sur le chemin réel.
  5. Confrontez les mises à jour aux avis officiels. Activez les mises à jour automatiques lorsque c’est possible et suivez les annonces de correctifs. Consignez séparément les versions concernées, les versions corrigées et les mesures d’atténuation par configuration.

Point de départ en lecture seule. Ne publiez pas les secrets présents dans les résultats ou la configuration.

tailscale version
tailscale serve status
tailscale funnel status

Vérifiez également les nœuds activés et la politique SSH dans la console d’administration et la configuration déployée. Documentation officielle de la CLI / Documentation officielle de SSH

03 / EN CAS DE SOUPÇON DE COMPROMISSION

Reconstruire et révoquer les identités.

Isolez les systèmes et préservez les preuves, supprimez ou révoquez les appareils dans le plan de contrôle, puis renouvelez les clés d’enregistrement et identifiants API exposés. En cas de compromission de root, recherchez aussi une éventuelle copie de l’état. Réinstaller le système d’exploitation ne révoque pas les clés exfiltrées. Si un nœud signataire est compromis, examinez aussi les clés Tailnet Lock.

Procédure de confinement de la chercheuse / Procédure officielle de suppression d’appareil

04 / UN AUTRE CORRECTIF

Passer à 1.104.2
ne signifie pas que Tailworm est résolu.

La version 1.104.2 du 10/21 corrige TS-2026-013, le problème de certificats eMudhra. L’étude Tailworm porte aussi sur cette version. Appliquez la mise à jour des certificats tout en suivant séparément les correctifs confirmés pour Tailworm.

Avis officiels de Tailscale / Journal des modifications / Versions de headscale

Distinguer les résultats de recherche des faits confirmés.

Chercheuse : Erica Windisch / Cyberdione Labs. Tests du 10/22 au 10/24, sur Tailscale 1.104.2 et headscale 0.29.5. Nous n’avons pas confirmé de reproduction indépendante en environnement réel. Le fournisseur examine les configurations concernées ; cela ne vaut pas validation individuelle des 11 rubriques. Aucun CVE dédié, score CVSS ou numéro minimal de version corrigée n’est confirmé dans cette enquête.

L’historique précis des versions du site de recherche et les heures de modification des réponses Reddit ne sont pas confirmés. Les informations recueillies après 23:18 ne sont pas rétroactivement considérées comme confirmées avant cette heure. Les relevés, empreintes et limites de l’enquête sont conservés dans le dépôt.