Forscherin veröffentlicht 11 ungepatchte Schwachstellen in Tailscale und headscale, die meisten davon in Tailscale SSH

Erica Windisch von Cyberdione Labs veröffentlichte 11 Findings unter dem Namen Tailworm (tailworm.com) ohne koordinierte Offenlegung, sodass der Anbieter keine Zeit hatte, vorher Patches bereitzustellen. Bis zum 25. Oktober waren keine Patches oder CVEs gemeldet worden.

Was die Forscherin berichtet:

• Die Findings fallen in fünf Gruppen: Tailscales SSH-Server, die Funktionen Serve und App Connector, der DERP-Relay-Client sowie headscale, der quelloffene, selbst gehostete Tailscale-Kontrollserver.
• Sie testete Tailscale 1.104.2 und headscale 0.29.5 zwischen dem 22. und 24. Oktober 2026.
• Die schwerwiegendste Gruppe betrifft Tailscale SSH, das innerhalb von tailscaled läuft, einem Prozess mit Root-Rechten. In ihrem Labor ermöglichten Race Conditions einem kompromittierten Gerät, Root-Zugriff auf anderen Servern zu erlangen und einen bösartigen Knoten zum Netzwerk hinzuzufügen. Ein Bug macht aus autorisiertem Zugriff ohne Root-Rechte über Unix-Socket-Weiterleitung Root-Zugriff.
• Berichten zufolge folgt der Angriff der SSH-Richtlinie und setzt aktivierte Portweiterleitung voraus. Der Angreifer muss bereits ein Gerät im Tailnet kontrollieren, dem die Richtlinie die Nutzung von Tailscale SSH erlaubt.

Reaktion von Tailscale: Laut einem zusammenfassenden Beitrag antwortete VP of Engineering Mike Shaver auf Reddit, dass Tailscale nach aktueller Einschätzung nicht empfiehlt, Tailscale SSH abzuschalten, während Patches vorbereitet werden. Als Maßnahmen werden empfohlen, die SSH-Zugriffsrichtlinien zu überprüfen und nicht benötigte Berechtigungen zur SSH-Weiterleitung zu entfernen. Dem Beitrag zufolge nannte Tailscale keinen Veröffentlichungstermin für die Patches. The Hacker News, das ebenfalls über den Bericht berichtete, schreibt, Tailscale habe ihm mitgeteilt, dass eine Fehlerbehebung bevorsteht.

Die Offenlegung erregte auf X große Aufmerksamkeit: Die Beiträge von IntCyberDigest und The_Cyber_News hatten bis zum 25. Oktober 4.539 beziehungsweise 3.314 Punkte.