Вибрати мову інтерфейсу

СПЕЦІАЛЬНИЙ ОГЛЯД · 2026-10-25 23:18 JST

TailwormПерегляньте межі
всередині мережі.

Для користувачів Tailscale / headscale.
Насамперед перевірте, кому дозволено доступ через SSH і які привілеї доступні після підключення.

Що перевірити сьогодні ↓Переглянути анімований огляд із 6 екранів →

Часовий зріз: 23:18 JST / 14:18 UTC. Першоджерела отримано пізніше.
Сторінка дослідження та відповіді сторін можуть змінюватися; їх не слід вважати незмінними копіями тексту, доступного на момент зрізу.

Об’єкт дослідження1.104.2 / 0.29.5Tailscale / headscale
ПостачальникТривають дослідження та виправленняУточнюються конфігурації, яких це стосується
Версія з виправленням TailwormУ цьому огляді не підтвердженаОкремо від оновлення сертифікатів

01 / ВИЗНАЧТЕ СВІЙ РІВЕНЬ РИЗИКУ

Якими функціями ви користуєтеся?

Це стислий виклад звіту дослідниці про відтворення проблем. У межах цього огляду ми не запускали PoC. Серед 11 розділів є також зауваження щодо конфігурації та моделі загроз; це не 11 присвоєних CVE і не 11 випадків компрометації.

SSH / РЕЗУЛЬТАТИ 1–3, 5

Tailscale SSH

Передумови — дозволений доступ до вузла з увімкненим SSH і відповідні дозволи на перенаправлення. У звіті описано перетин меж привілеїв через операції root із сокетами Unix та стани гонитви під час роботи зі шляхами.

Перевірте: вузли з увімкненим SSH, правила SSH і зайві перенаправлення
ВЛАСНЕ РОЗГОРТАННЯ / РЕЗУЛЬТАТ 6

headscale

Для 0.29.5 описано вичерпання пам’яті та витіснення записів кешу через загальнодоступний шлях реєстрації. Дослідниця також зазначає, що перенаправлення SSH неможливо заблокувати.

Перевірте: публічну доступність, дозволи SSH, моніторинг пам’яті та реєстрацій
ЕКСПЕРИМЕНТАЛЬНЕ / РЕЗУЛЬТАТ 4

Конектори conn25

Згідно зі звітом, пристрій із capability для використання conn25 може вибирати фактичну адресу призначення конектора. Перевірте маршрути до локальної мережі, служб метаданих і кластерів.

Перевірте: використання conn25, дозволи та вихідний трафік до фактичних адрес призначення
SERVE / РЕЗУЛЬТАТИ 7–11

Serve / Funnel

Серед описаного — перенаправлення TCP до привілейованих сокетів, стани гонитви після налаштування, прив’язка до всіх інтерфейсів і авторизація для кількох точок монтування. Умови залежать від налаштувань оператора та авторизації в застосунку.

Перевірте: правила перенаправлення, інтерфейси прослуховування та авторизацію на сервері застосунку

Вичерпання пам’яті клієнта DERP потребує підключення до зловмисного ретранслятора. Не слід вважати, що всі користувачі зазнають впливу через той самий шлях. Подробиці та застереження за кожним пунктом →

02 / ДІЇ НА СЬОГОДНІ

Перевірте доступ і звузьте дозволи.

  1. З’ясуйте фактичну доступність через SSH. Обмежте доступ необхідними користувачами, пристроями та адресами призначення й приберіть зайві перенаправлення. Розрізняйте звичайні підключення OpenSSH і Tailscale SSH.
  2. Розгляньте тимчасове вимкнення SSH на критичних хостах. Спершу перевірте альтернативний канал адміністрування. Саме лише зазначення користувача, відмінного від root, не гарантує захисту від цього підвищення привілеїв. Це не рекомендація постачальника вимкнути SSH для всіх.
  3. Не називайте check mode виправленням. Додаткова автентифікація під час входу корисна, але не усуває проблем із привілеями всередині дозволеного сеансу.
  4. Перевіряйте headscale, конектори та Serve окремо. Перегляньте публічні шляхи реєстрації, обмеження пам’яті, зайві дозволи conn25 і перенаправлення до привілейованих сокетів. Міжмережевий екран IP не усуває станів гонитви локальних сокетів Unix. Обмеження вихідного трафіку Kubernetes також перевіряйте на фактичному маршруті.
  5. Зіставляйте оновлення з офіційними рекомендаціями. Увімкніть автоматичне оновлення там, де це доцільно, і відстежуйте підтверджені виправлення. Окремо обліковуйте перевірені версії, виправлені версії та заходи пом’якшення через налаштування.

Початкові перевірки лише для читання. Не публікуйте секрети з результатів команд або конфігурації.

tailscale version
tailscale serve status
tailscale funnel status

Також перевірте вузли з увімкненим SSH і політику SSH у консолі адміністратора та конфігурації розгортання. Офіційна довідка CLI / Офіційна документація SSH

03 / ЯКЩО Є ПІДОЗРА НА КОМПРОМЕТАЦІЮ

Розгорніть системи заново та відкличте цифрові ідентичності.

Ізолюйте системи й збережіть докази, видаліть або відкличте пристрої через площину керування та замініть розкриті ключі реєстрації й облікові дані API. У разі компрометації root з’ясуйте, чи міг бути скопійований стан. Саме лише перевстановлення ОС не відкликає викрадених ключів. Якщо постраждав вузол підписування, перевірте також ключі Tailnet Lock.

Рекомендації дослідниці щодо стримування / Офіційна процедура видалення пристрою

04 / ІНШЕ ВИПРАВЛЕННЯ

Оновлення до 1.104.2
не означає завершення усунення Tailworm.

Випущена 10/21 версія 1.104.2 усуває TS-2026-013 — окрему проблему із сертифікатами eMudhra. Дослідження Tailworm також стосується цієї версії. Установіть оновлення сертифікатів, а підтверджене виправлення Tailworm відстежуйте окремо.

Офіційні бюлетені Tailscale / Журнал змін / Випуски headscale

Відокремлюйте результати дослідження від підтверджених фактів.

Дослідниця: Erica Windisch / Cyberdione Labs. Випробування тривали 10/22–24 на Tailscale 1.104.2 і headscale 0.29.5. Ми не підтверджували незалежне відтворення в реальному середовищі. Постачальник досліджує конфігурації, яких це стосується; це не слід вважати окремим підтвердженням усіх 11 пунктів. Окремі CVE, оцінки CVSS і мінімальні виправлені версії в цьому огляді не підтверджені.

Точну історію змін сайту дослідження та час редагування відповідей у Reddit не встановлено. Відомості, отримані пізніше, не слід заднім числом вважати підтвердженими до 23:18. Записи, хеші та обмеження дослідження збережено в репозиторії.