TailwormTinjau kembali
batas di dalam.

Untuk pengguna Tailscale / headscale.
Periksa terlebih dahulu: siapa yang diizinkan menggunakan SSH dan hak aksesnya setelah terhubung.

Yang perlu diperiksa hari ini ↓Lihat presentasi animasi 6 layar →

Waktu acuan: 23:18 JST / 14:18 UTC. Sumber primer diperoleh setelah waktu acuan tersebut.
Halaman penelitian dan tanggapan pihak terkait dapat diperbarui; isinya tidak dianggap sebagai salinan tetap dari teks pada saat itu.

Objek penelitian1.104.2 / 0.29.5Tailscale / headscale

VendorInvestigasi dan perbaikan berlangsungKonfigurasi terdampak sedang diperiksa

Versi perbaikan TailwormBelum dipastikan dalam tinjauan iniBedakan dari pembaruan sertifikat

01 / KENALI PAPARAN ANDA

Fitur apa yang Anda gunakan?

Berikut ringkasan laporan reproduksi peneliti. Kami tidak menjalankan PoC dalam tinjauan ini. Sebelas bagian tersebut juga mencakup catatan konfigurasi dan model ancaman; jangan menghitungnya sebagai 11 CVE atau 11 insiden kompromi.

SSH / TEMUAN 1–3, 5

Tailscale SSH

Memerlukan izin koneksi ke node dengan SSH aktif serta izin penerusan yang terkait. Laporan menyebut operasi root pada soket Unix dan kondisi balapan pada jalur dapat melampaui batas hak akses.

Periksa: node aktif, aturan SSH, dan penerusan yang tidak diperlukan

HOSTING MANDIRI / TEMUAN 6

headscale

Pada 0.29.5, dilaporkan kehabisan memori dan pengeluaran entri cache melalui jalur pendaftaran publik. Peneliti juga menyebut penerusan SSH tidak dapat dicegah.

Periksa: cakupan publik, izin SSH, serta pemantauan memori dan pendaftaran

EKSPERIMENTAL / TEMUAN 4

Konektor conn25

Menurut laporan, perangkat dengan capability untuk menggunakan conn25 dapat memilih tujuan konektor yang sebenarnya. Periksa jalur menuju LAN, metadata, dan cluster.

Periksa: penggunaan conn25, izin penggunaan, dan lalu lintas keluar ke tujuan sebenarnya

SERVE / TEMUAN 7–11

Serve / Funnel

Meliputi penerusan TCP ke soket berhak istimewa, kondisi balapan setelah konfigurasi, pengikatan ke semua antarmuka, dan otorisasi beberapa mount. Bergantung pada konfigurasi operator dan otorisasi aplikasi.

Periksa: konfigurasi penerusan, cakupan listener, dan otorisasi backend

Kehabisan memori pada klien DERP mensyaratkan klien dibuat terhubung ke relay berbahaya. Jangan menyimpulkan bahwa semua pengguna terdampak melalui jalur yang sama. Rincian dan batasan per bagian (bahasa Inggris) →

02 / BERTINDAK HARI INI

Periksa dan persempit izin.

Inventarisasi jangkauan SSH yang sebenarnya. Batasi koneksi pada pengguna, perangkat, dan tujuan yang diperlukan, serta kurangi penerusan yang tidak diperlukan. Bedakan koneksi melalui OpenSSH biasa dari Tailscale SSH.
Pertimbangkan penonaktifan sementara SSH pada host penting. Putuskan setelah memastikan jalur administrasi alternatif. Jangan menganggap penetapan pengguna selain root saja dapat mencegah eskalasi hak akses ini. Ini bukan anjuran vendor untuk menonaktifkan SSH bagi semua pengguna.
Jangan menyebut check mode sebagai perbaikan. Autentikasi tambahan saat masuk bermanfaat, tetapi tidak menyelesaikan masalah hak akses di dalam sesi yang telah diizinkan.
Periksa headscale, konektor, dan Serve secara terpisah. Tinjau jalur pendaftaran publik, batas memori, izin conn25 yang tidak diperlukan, dan penerusan ke soket berhak istimewa. Firewall IP tidak dapat menghentikan kondisi balapan pada soket lokal. Uji juga pembatasan lalu lintas keluar Kubernetes pada jalur sebenarnya.
Cocokkan pembaruan dengan pemberitahuan resmi. Aktifkan pembaruan otomatis jika memungkinkan dan ikuti pengumuman versi perbaikan. Catat versi terdampak, versi yang diperbaiki, dan mitigasi konfigurasi secara terpisah.

Titik awal hanya-baca. Jangan publikasikan rahasia yang terdapat dalam hasil atau konfigurasi.

tailscale version
tailscale serve status
tailscale funnel status

Periksa juga node aktif dan kebijakan SSH melalui konsol administrasi dan konfigurasi yang diterapkan. Dokumentasi CLI resmi / Dokumentasi SSH resmi

03 / JIKA DICURIGAI TERJADI KOMPROMI

Bangun ulang dan cabut identitas.

Isolasi sistem dan amankan bukti, hapus atau cabut perangkat pada bidang kontrol, lalu ganti kunci pendaftaran dan kredensial API yang terpapar. Jika root disusupi, selidiki juga kemungkinan state telah disalin. Menginstal ulang OS saja tidak mencabut kunci yang telah dibawa keluar. Jika node penandatangan disusupi, pertimbangkan juga kunci Tailnet Lock.

Prosedur pembatasan dampak dari peneliti / Prosedur resmi penghapusan perangkat

04 / PERBAIKAN YANG BERBEDA

Memperbarui ke 1.104.2
belum berarti Tailworm teratasi.

Versi 1.104.2 pada 10/21 menangani TS-2026-013, masalah sertifikat eMudhra. Penelitian Tailworm juga menguji versi yang sama. Terapkan pembaruan sertifikat sambil melacak secara terpisah perbaikan Tailworm yang telah dipastikan.

Pemberitahuan resmi Tailscale / Catatan perubahan / Rilis headscale

Pisahkan laporan penelitian dari fakta yang telah dipastikan.

Peneliti: Erica Windisch / Cyberdione Labs. Periode pengujian 10/22–24, pada Tailscale 1.104.2 dan headscale 0.29.5. Kami belum mengonfirmasi reproduksi independen di lingkungan nyata. Vendor sedang menyelidiki konfigurasi terdampak; ini tidak berarti seluruh 11 bagian telah diakui satu per satu. CVE khusus, CVSS, dan versi minimum yang telah diperbaiki belum dipastikan dalam tinjauan ini.

Riwayat versi yang tepat pada situs penelitian dan waktu penyuntingan tanggapan Reddit belum dipastikan. Informasi yang diperoleh setelah 23:18 tidak diberlakukan surut sebagai fakta yang telah dipastikan sebelum waktu itu. Catatan, hash, dan keterbatasan investigasi disimpan di repositori.