표시 언어 선택

특별 보고 · 2026-10-25 23:18 JST

Tailworm내부 경계를
다시 살펴봅니다.

Tailscale / headscale 사용자에게.
먼저 확인할 것은 SSH 연결을 허용한 대상과 연결 이후의 권한입니다.

오늘 확인할 사항 ↓6개 화면의 모션으로 보기 →

기준 시각은 23:18 JST / 14:18 UTC입니다. 1차 자료는 기준 시각 이후에 실제로 수집했습니다.
연구 페이지와 당사자 응답은 갱신될 수 있으므로 당시의 변경 불가능한 원문으로 간주하지 않습니다.

연구 대상1.104.2 / 0.29.5Tailscale / headscale
공급업체조사 및 수정 중영향받는 구성 확인 중
Tailworm 수정 버전이번 조사에서 미확정인증서 업데이트와 구분

01 / 노출 범위 확인

어떤 기능을 사용하고 있나요?

아래는 연구자의 재현 보고를 요약한 것입니다. 이번 조사에서는 PoC를 실행하지 않았습니다. 11개 항목에는 설정과 위협 모델에 관한 주의 사항도 포함되므로, 이를 11개의 CVE나 11건의 침해로 세지 않습니다.

SSH / 발견 사항 1–3, 5

Tailscale SSH

SSH가 활성화된 노드에 대한 연결 허용과 해당 포워딩 권한이 전제입니다. root의 Unix socket 조작과 경로 경쟁으로 권한 경계를 넘을 수 있다는 보고입니다.

확인: 활성화된 노드, SSH 규칙, 불필요한 포워딩
자체 호스팅 / 발견 사항 6

headscale

0.29.5의 공개 등록 경로에서 메모리 고갈과 캐시 축출이 보고됐습니다. 연구자는 SSH 포워딩도 억제할 수 없다고 지적합니다.

확인: 공개 범위, SSH 허용, 메모리 및 등록 모니터링
실험적 기능 / 발견 사항 4

conn25 커넥터

conn25 사용 capability를 가진 단말이 커넥터의 실제 목적지를 선택할 수 있다는 지적입니다. LAN, metadata, cluster로 향하는 경로를 확인하세요.

확인: conn25 사용 여부, 사용 권한, 실제 목적지로의 egress
SERVE / 발견 사항 7–11

Serve / Funnel

특권 socket으로의 TCP 포워딩, 설정 후 경쟁, 모든 interface에 대한 bind, 여러 mount의 인가 등이 포함됩니다. operator 설정과 애플리케이션 측 인가에 따라 달라집니다.

확인: forward 설정, listen 범위, backend 인가

DERP client 메모리 고갈은 악성 relay에 연결하도록 만들 수 있다는 전제가 있습니다. 모든 사용자가 같은 경로로 영향을 받는다고 일반화하지 않습니다. 항목별 상세 내용과 유의 사항(영어) →

02 / 오늘 할 일

확인하고 허용 범위를 좁히세요.

  1. SSH의 실제 도달 범위를 파악하세요.필요한 사용자와 단말에서 필요한 목적지로만 접근하도록 제한하고 불필요한 포워딩을 줄이세요. 일반 OpenSSH 연결과 Tailscale SSH를 구분하세요.
  2. 중요 호스트는 SSH의 일시 중단도 고려하세요.대체 관리 경로를 확인한 후 판단하세요. root가 아닌 사용자만 지정하면 이번 권한 상승을 막을 수 있다고 보지 않습니다. 모든 사용자에게 일률적으로 중단하라는 공급업체의 권고는 아닙니다.
  3. check mode를 수정이라고 부르지 마세요.진입 시 추가 인증은 유용하지만, 허용된 세션 내부의 권한 문제를 해결하지는 않습니다.
  4. headscale, 커넥터, Serve는 개별적으로 확인하세요.공개 등록 경로, 메모리 제한, 불필요한 conn25 권한, 특권 socket 포워딩을 점검하세요. IP firewall로는 로컬 socket 경쟁을 막을 수 없습니다. Kubernetes의 egress 제한도 실제 경로에서 검증하세요.
  5. 업데이트는 공식 권고와 대조하세요.자동 업데이트가 가능한 환경에서는 이를 설정하고 수정 버전 안내를 추적하세요. 영향받는 버전, 수정 버전, 설정을 통한 완화 조치를 따로 관리하세요.

읽기 전용 점검의 출발점입니다. 결과나 설정에 포함된 비밀 정보를 공개하지 마세요.

tailscale version
tailscale serve status
tailscale funnel status

활성화된 노드와 SSH 정책은 관리 콘솔 및 배포 설정에서도 확인하세요. CLI 공식 문서 / SSH 공식 문서

03 / 침해가 의심될 때

재구축과 기기 ID 폐기.

격리하고 증거를 보존한 뒤 제어 영역에서 단말을 삭제하거나 ID를 폐기하고, 노출된 등록 키 및 API 자격 증명을 교체하세요. root 침해가 있다면 state가 복사되었을 가능성도 조사하세요. OS를 재설치하는 것만으로 외부로 유출된 키가 폐기되지는 않습니다. 서명 노드가 피해를 입었다면 Tailnet Lock 키도 검토하세요.

연구자의 확산 억제 절차 / 공식 단말 삭제 안내

04 / 별개의 수정

1.104.2로 올려도
Tailworm 대응이 끝난 것은 아닙니다.

10/21의 1.104.2는 TS-2026-013 및 eMudhra 인증서 문제의 대응 버전입니다. Tailworm 연구도 같은 버전을 대상으로 합니다. 인증서 업데이트를 적용하면서 Tailworm의 확정된 수정은 별도로 추적하세요.

Tailscale 공식 보안 권고 / 변경 기록 / headscale 릴리스

연구 보고와 확정된 사실을 구분합니다.

연구자: Erica Windisch / Cyberdione Labs. 검증 기간은 10/22–24이며, 대상은 Tailscale 1.104.2와 headscale 0.29.5입니다. 독립적인 실제 환경 재현은 확인하지 않았습니다. 공급업체는 영향받는 구성을 조사 중이며, 연구자의 11개 항목을 모두 개별 인정한 것으로 보지 않습니다. 전용 CVE, CVSS, 최소 수정 버전은 이번 조사에서 확정되지 않았습니다.

연구 사이트의 정확한 버전 이력과 Reddit 응답의 수정 시각은 확정되지 않았습니다. 수집 이후의 정보를 23:18 이전에 확정된 상태로 소급하지 않습니다. 기록, 해시, 조사상의 한계는 저장소에 남겨 두었습니다.