Выбрать язык отображения

СПЕЦРЕПОРТАЖ · 2026-10-25 23:18 JST

TailwormПересмотрите
внутренние границы.

Для пользователей Tailscale / headscale.
Сначала проверьте, кому разрешён SSH-доступ и какие права доступны после подключения.

Что проверить сегодня ↓Смотреть анимированный брифинг из 6 сцен →

Срез: 23:18 JST / 14:18 UTC. Первоисточники получены после этого времени.
Страница исследования и ответы участников могут обновляться; полученные тексты не считаются неизменной копией их состояния на тот момент.

Объект исследования1.104.2 / 0.29.5Tailscale / headscale
РазработчикИсследование и исправления продолжаютсяУточняются затронутые конфигурации
Версия с исправлением TailwormПока не подтвержденаНе путать с исправлением сертификатов

01 / ПРОВЕРЬТЕ СВОЮ ПОДВЕРЖЕННОСТЬ

Какие функции вы используете?

Ниже — краткое изложение отчёта исследовательницы о воспроизведении. В рамках этого обзора PoC не запускался. Среди 11 пунктов есть замечания о конфигурации и модели угроз; это не 11 CVE и не 11 подтверждённых компрометаций.

SSH / РЕЗУЛЬТАТЫ 1–3, 5

Tailscale SSH

Необходимы разрешение на подключение к узлу с включённым SSH и соответствующие права перенаправления. Согласно отчёту, операции root с Unix-сокетами и гонки при обработке путей могут нарушать границы привилегий.

Проверить: активные узлы, правила SSH, ненужные перенаправления
СОБСТВЕННОЕ РАЗМЕЩЕНИЕ / РЕЗУЛЬТАТ 6

headscale

Для 0.29.5 описаны исчерпание памяти и вытеснение кеша через общедоступный путь регистрации. Исследовательница также указывает, что запретить SSH-перенаправления не удаётся.

Проверить: публичную доступность, разрешения SSH, память и мониторинг регистраций
ЭКСПЕРИМЕНТАЛЬНАЯ ФУНКЦИЯ / РЕЗУЛЬТАТ 4

Коннектор conn25

Сообщается, что устройство с разрешением capability для использования conn25 может выбирать фактический адрес назначения коннектора. Проверьте маршруты к LAN, сервисам метаданных и кластерам.

Проверить: использование conn25, права доступа, исходящие соединения к фактическим адресам назначения
SERVE / РЕЗУЛЬТАТЫ 7–11

Serve / Funnel

Среди вопросов — TCP-перенаправление к привилегированным сокетам, гонки после настройки, привязка ко всем интерфейсам и авторизация нескольких точек монтирования. Условия зависят от настроек оператора и авторизации в приложении.

Проверить: настройки перенаправления, интерфейсы прослушивания, авторизацию серверной части

Исчерпание памяти DERP client требует возможности подключить его к вредоносному relay. Это не означает, что все пользователи затронуты одним и тем же способом. Подробности и оговорки по каждому пункту →

02 / ДЕЙСТВИЯ НА СЕГОДНЯ

Проверьте доступ и сузьте разрешения.

  1. Установите фактическую область SSH-доступа. Оставьте только необходимые подключения от нужных пользователей и устройств к нужным адресам; уберите ненужные перенаправления. Различайте обычные подключения через OpenSSH и Tailscale SSH.
  2. Для важных хостов рассмотрите временное отключение SSH. Решайте после проверки альтернативного пути администрирования. Указание пользователя без root-прав само по себе не считается защитой от описанного повышения привилегий. Это не рекомендация разработчика всем без исключения отключить SSH.
  3. check mode — не исправление. Дополнительная аутентификация при входе полезна, но не устраняет проблемы с правами внутри уже разрешённого сеанса.
  4. Проверяйте headscale, коннекторы и Serve отдельно. Проверьте публичные пути регистрации, ограничения памяти, ненужные права conn25 и перенаправления к привилегированным сокетам. Межсетевой экран IP не предотвращает гонки с локальными сокетами. Ограничения исходящих соединений в Kubernetes также проверяйте на фактическом маршруте.
  5. Сверяйте обновления с официальными рекомендациями. Где возможно, включите автоматические обновления и следите за сообщениями об исправленных версиях. Отдельно учитывайте затронутые версии, исправленные версии и смягчение рисков настройками.

Начните с команд только для чтения. Не публикуйте секреты из результатов или конфигурации.

tailscale version
tailscale serve status
tailscale funnel status

Активные узлы и политику SSH проверяйте также в консоли управления и конфигурации развёртывания. Официальная документация CLI / Официальная документация SSH

03 / ЕСЛИ ЕСТЬ ПОДОЗРЕНИЕ НА КОМПРОМЕТАЦИЮ

Пересоздайте систему и отзовите учётные данные.

Изолируйте системы и сохраните свидетельства. Удалите или отзовите устройства через плоскость управления и замените раскрытые ключи регистрации и учётные данные API. При компрометации root проверьте также возможность копирования state. Переустановка ОС сама по себе не отзывает похищенные ключи. Если затронут подписывающий узел, рассмотрите и меры в отношении ключей Tailnet Lock.

Меры сдерживания от исследовательницы / Официальная инструкция по удалению устройств

04 / ДРУГОЕ ИСПРАВЛЕНИЕ

Обновление до 1.104.2
не завершает меры против Tailworm.

Версия 1.104.2 от 10/21 предназначена для устранения проблемы сертификатов eMudhra, TS-2026-013. Исследование Tailworm также проводилось на этой версии. Установите обновление сертификатов и отдельно отслеживайте подтверждённые исправления Tailworm.

Официальные рекомендации Tailscale / Журнал изменений / Релизы headscale

Разделяйте исследовательские сообщения и подтверждённые факты.

Исследовательница: Erica Windisch / Cyberdione Labs. Период проверки: 10/22–24, Tailscale 1.104.2 и headscale 0.29.5. Независимое воспроизведение в реальных средах не проводилось. Разработчик изучает затронутые конфигурации; это не считается отдельным подтверждением всех 11 пунктов. Отдельные CVE, оценки CVSS и минимальная исправленная версия в этом обзоре не подтверждены.

Точная история версий исследовательского сайта и время редактирования ответов на Reddit не установлены. Полученная позднее информация не переносится задним числом в подтверждённое состояние до 23:18. Записи, хеши и ограничения исследования сохранены в репозитории.