Escolher idioma

REPORTAGEM ESPECIAL · 2026-10-25 23:18 JST

TailwormReavalie os limites
internos.

Para quem usa Tailscale / headscale.
Confira primeiro: quem tem permissão de SSH e quais privilégios possui após a conexão.

O que verificar hoje ↓Ver a apresentação animada de 6 telas →

Horário de referência: 23:18 JST / 14:18 UTC. As fontes primárias foram obtidas depois desse horário.
A página da pesquisa e as respostas das partes podem ser atualizadas; não são tratadas como uma cópia imutável do conteúdo daquela hora.

Objeto da pesquisa1.104.2 / 0.29.5Tailscale / headscale
FornecedorInvestigação e correções em andamentoConfigurações afetadas em avaliação
Versão que corrige TailwormNão confirmada nesta revisãoDistinguir da atualização de certificados

01 / IDENTIFIQUE SUA EXPOSIÇÃO

Quais funções você usa?

Este é um resumo do relato de reprodução da pesquisadora. Não executamos o PoC nesta revisão. Os 11 tópicos também incluem alertas sobre configuração e modelos de ameaça; não equivalem a 11 CVEs nem a 11 comprometimentos.

SSH / ACHADOS 1–3, 5

Tailscale SSH

Exige permissão de conexão a um nó com SSH habilitado e as permissões de encaminhamento correspondentes. O relato descreve como operações de root em sockets Unix e condições de corrida em caminhos permitem ultrapassar limites de privilégios.

Verifique: nós habilitados, regras SSH e encaminhamentos desnecessários
AUTO-HOSPEDADO / ACHADO 6

headscale

Na versão 0.29.5, são relatados esgotamento de memória e expulsão de entradas do cache pela rota pública de registro. A pesquisadora aponta que também não é possível impedir o encaminhamento SSH.

Verifique: exposição pública, permissões SSH e monitoramento de memória e registros
EXPERIMENTAL / ACHADO 4

Conector conn25

Segundo o relato, um dispositivo com a capability de uso de conn25 pode escolher o destino real do conector. Confira os caminhos para a LAN, os metadados e os clusters.

Verifique: adoção de conn25, permissões de uso e tráfego de saída para os destinos reais
SERVE / ACHADOS 7–11

Serve / Funnel

Encaminhamento TCP para sockets privilegiados, condições de corrida após a configuração, escuta em todas as interfaces e autorização de múltiplos pontos de montagem, entre outros. Depende da configuração do operador e da autorização da aplicação.

Verifique: configuração de encaminhamento, alcance da escuta e autorização do backend

O esgotamento de memória do cliente DERP exige que ele seja induzido a se conectar a um relay malicioso. Não se generaliza que todos os usuários sejam afetados pelo mesmo caminho. Detalhes e ressalvas por tópico (em inglês) →

02 / AJA HOJE

Verifique e restrinja as permissões.

  1. Faça um inventário do alcance real do SSH. Limite as conexões aos usuários, dispositivos e destinos necessários e reduza encaminhamentos desnecessários. Distinga conexões via OpenSSH convencional de Tailscale SSH.
  2. Considere desativar temporariamente o SSH em hosts críticos. Decida após verificar uma via alternativa de administração. Não suponha que especificar apenas um usuário diferente de root impeça esta elevação de privilégios. Não se trata de recomendação do fornecedor para desativação geral.
  3. Não chame check mode de correção. A autenticação adicional na entrada é útil, mas não resolve problemas de privilégios dentro de uma sessão autorizada.
  4. Verifique headscale, conectores e Serve separadamente. Confira a rota pública de registro, os limites de memória, as permissões conn25 desnecessárias e os encaminhamentos para sockets privilegiados. Um firewall IP não impede condições de corrida em sockets locais. Valide também as restrições de saída do Kubernetes no caminho real.
  5. Confira as atualizações nos avisos oficiais. Ative as atualizações automáticas onde for possível e acompanhe os anúncios de versões corrigidas. Controle separadamente as versões afetadas, as corrigidas e as medidas de mitigação por configuração.

Ponto de partida somente para leitura. Não publique segredos presentes nos resultados ou na configuração.

tailscale version
tailscale serve status
tailscale funnel status

Confira também os nós habilitados e a política SSH no console de administração e na configuração implantada. Documentação oficial da CLI / Documentação oficial de SSH

03 / SE HOUVER SUSPEITA DE COMPROMETIMENTO

Reconstrua e revogue as identidades.

Isole os sistemas e preserve as evidências; remova ou revogue os dispositivos no plano de controle e renove as chaves de registro e credenciais de API expostas. Se root foi comprometido, investigue também se o estado foi copiado. Reinstalar o sistema operacional não revoga chaves extraídas. Se um nó de assinatura foi comprometido, avalie também as chaves de Tailnet Lock.

Procedimento de contenção da pesquisadora / Procedimento oficial de remoção de dispositivos

04 / UMA CORREÇÃO DIFERENTE

Atualizar para 1.104.2
não encerra a resposta a Tailworm.

A versão 1.104.2 de 10/21 corrige TS-2026-013, o problema de certificados da eMudhra. A pesquisa Tailworm também analisa essa versão. Aplique a atualização de certificados e acompanhe separadamente as correções confirmadas para Tailworm.

Avisos oficiais da Tailscale / Histórico de alterações / Versões do headscale

Separe os relatos da pesquisa dos fatos confirmados.

Pesquisadora: Erica Windisch / Cyberdione Labs. Testes de 10/22 a 10/24, em Tailscale 1.104.2 e headscale 0.29.5. Não confirmamos reprodução independente em ambientes reais. O fornecedor investiga as configurações afetadas; isso não significa validação individual dos 11 tópicos. CVEs específicos, pontuações CVSS e uma versão mínima corrigida não foram confirmados nesta revisão.

O histórico exato de versões do site de pesquisa e os horários de edição das respostas no Reddit não foram confirmados. Informações obtidas após as 23:18 não são retroativamente tratadas como confirmadas antes desse horário. Os registros, hashes e limitações da investigação estão preservados no repositório.