Wybierz język wyświetlania

RAPORT SPECJALNY · 2026-10-25 23:18 JST

TailwormSprawdź granice
wewnątrz sieci.

Dla użytkowników Tailscale / headscale.
Zacznij od tego, kto ma dostęp SSH i jakie uprawnienia otrzymuje po połączeniu.

Co sprawdzić dzisiaj ↓Obejrzyj materiał w sześciu scenach →

Stan na 23:18 JST / 14:18 UTC. Źródła pierwotne pobrano później.
Strona badania i odpowiedź dostawcy mogą się zmieniać; nie są niezmiennymi kopiami treści dostępnych w czasie granicznym.

Badane wersje1.104.2 / 0.29.5Tailscale / headscale
DostawcaBada i naprawiaBadane podatne konfiguracje
Wersja z poprawką TailwormNiepotwierdzona w tym przeglądzieOddzielnie od aktualizacji certyfikatów

01 / USTAL NARAŻENIE

Z jakich funkcji korzystasz?

To podsumowanie raportu badacza z odtworzenia problemów. Nie uruchamialiśmy PoC. 11 nagłówków obejmuje obserwacje konfiguracji i modelu zagrożeń; nie oznacza 11 przydzielonych CVE ani 11 kompromitacji.

SSH / USTALENIA 1–3, 5

Tailscale SSH

Wymaga autoryzowanego dostępu do węzła z włączonym SSH i odpowiednich uprawnień przekazywania. Raport opisuje przekraczanie granic uprawnień przez operacje na gniazdach Unix należących do root i wyścigi ścieżek.

Sprawdź: włączone węzły, reguły SSH i zbędne przekazywanie
WŁASNY HOSTING / USTALENIE 6

headscale

Raport opisuje wyczerpanie pamięci i usuwanie wpisów pamięci podręcznej przez publiczne ścieżki rejestracji w 0.29.5. Badacz podaje też, że nie da się zablokować przekazywania SSH.

Sprawdź: ekspozycję, uprawnienia SSH, pamięć i monitoring rejestracji
EKSPERYMENTALNE / USTALENIE 4

Konektory conn25

Według ustalenia urządzenie z możliwością użycia conn25 może wybierać rzeczywisty cel konektora. Sprawdź trasy do sieci LAN, usług metadanych i klastrów.

Sprawdź: użycie conn25, uprawnienia i rzeczywiste cele ruchu wychodzącego
SERVE / USTALENIA 7–11

Serve / Funnel

Obejmuje przekazywanie TCP do uprzywilejowanych gniazd, wyścigi po konfiguracji, powiązanie ze wszystkimi interfejsami i autoryzację między wieloma punktami montowania. Warunki zależą od konfiguracji operatora i autoryzacji aplikacji.

Sprawdź: reguły przekazywania, zakres nasłuchu i autoryzację zaplecza

Wyczerpanie pamięci klienta DERP wymaga połączenia ze złośliwym przekaźnikiem. Nie zakładaj, że każdy użytkownik jest narażony tą samą ścieżką. Szczegóły i zastrzeżenia dla każdego ustalenia →

02 / DZIAŁAJ DZISIAJ

Sprawdź dostęp, potem zawęź uprawnienia.

  1. Zinwentaryzuj rzeczywistą dostępność SSH. Ogranicz dostęp do użytkowników, urządzeń i celów, które go potrzebują, oraz usuń zbędne przekazywanie. Rozróżniaj zwykłe połączenia OpenSSH i Tailscale SSH.
  2. Rozważ tymczasowe wyłączenie SSH na wrażliwych hostach. Najpierw zweryfikuj alternatywną drogę zarządzania. Samo wskazanie użytkownika innego niż root nie dowodzi ochrony przed tą eskalacją. To nie zalecenie dostawcy, aby wyłączyć SSH wszędzie.
  3. Nie nazywaj trybu check poprawką. Dodatkowe uwierzytelnienie wejścia pomaga, lecz nie naprawia problemów uprawnień wewnątrz autoryzowanej sesji.
  4. Sprawdź headscale, konektory i Serve oddzielnie. Sprawdź publiczne ścieżki rejestracji, limity pamięci, zbędne uprawnienia conn25 i przekazywanie do uprzywilejowanych gniazd. Zapory IP nie powstrzymają lokalnych wyścigów gniazd Unix. Zweryfikuj kontrole ruchu wychodzącego Kubernetes względem rzeczywistej ścieżki.
  5. Dopasuj aktualizacje do oficjalnych komunikatów. Włącz automatyczne aktualizacje tam, gdzie to właściwe, i śledź potwierdzone poprawki. Rozróżniaj wersje testowane, wersje poprawione i ograniczenia konfiguracyjne.

Punkty wyjścia tylko do odczytu. Nie publikuj sekretów z wyników poleceń ani konfiguracji.

tailscale version
tailscale serve status
tailscale funnel status

Sprawdź też włączone węzły i politykę SSH w konsoli administracyjnej oraz konfiguracji wdrożenia. Oficjalny opis CLI / Oficjalna dokumentacja SSH

03 / GDY PODEJRZEWASZ KOMPROMITACJĘ

Odbuduj i unieważnij tożsamości.

Izoluj i zachowaj dowody, usuń lub unieważnij urządzenie przez płaszczyznę sterowania oraz zmień ujawnione klucze rejestracyjne i dane API. Przy kompromitacji root zbadaj, czy skopiowano stan. Sama reinstalacja systemu nie unieważnia wykradzionych kluczy. Jeśli dotyczy to węzła podpisującego, oceń również klucze Tailnet Lock.

Wskazówki badacza dotyczące ograniczania incydentu / Oficjalne usuwanie urządzenia

04 / INNA POPRAWKA

Aktualizacja do 1.104.2
nie kończy usuwania problemów Tailworm.

Wersja 1.104.2, wydana 10/21, dotyczy TS-2026-013 i oddzielnego problemu certyfikatów eMudhra. Badanie Tailworm obejmuje też tę wersję. Zastosuj aktualizację certyfikatów, a osobno śledź potwierdzoną poprawkę Tailworm.

Biuletyny bezpieczeństwa Tailscale / Lista zmian / Wydania headscale

Oddzielaj ustalenia badawcze od potwierdzonych faktów.

Badacz: Erica Windisch / Cyberdione Labs. Testy prowadzono 10/22–24 na Tailscale 1.104.2 i headscale 0.29.5. Nie odtworzyliśmy niezależnie ustaleń w rzeczywistym wdrożeniu. Dostawca bada podatne konfiguracje; nie jest to indywidualne potwierdzenie wszystkich 11 ustaleń. Dedykowane CVE, oceny CVSS i minimalne poprawione wersje pozostają niepotwierdzone w tym przeglądzie.

Dokładna historia zmian strony badania i czas edycji odpowiedzi dostawcy na Reddit pozostają nierozstrzygnięte. Nie przypisuj informacji pobranych później do potwierdzonego stanu sprzed 23:18. Rekordy, hashe i ograniczenia badania pozostają w repozytorium.