Un chercheuse publie 11 failles non corrigées dans Tailscale et headscale, principalement dans Tailscale SSH

Erica Windisch, de Cyberdione Labs, a publié 11 failles sous le nom de Tailworm (tailworm.com) sans divulgation coordonnée, ne laissant donc pas au fournisseur le temps de publier des correctifs au préalable. Au 25 octobre, aucun correctif ni CVE n’avait été signalé.

Ce que rapporte la chercheuse :

• Les failles se répartissent en cinq groupes : le serveur SSH de Tailscale, ses fonctionnalités serve et app connector, le client de relais DERP et headscale, le serveur de contrôle Tailscale open source et auto-hébergé.
• Elle a testé Tailscale 1.104.2 et headscale 0.29.5 entre le 22 et le 24 octobre 2026.
• Le groupe le plus grave concerne Tailscale SSH, qui s’exécute dans tailscaled, un processus doté de privilèges root. Dans son laboratoire, des conditions de concurrence permettaient à un appareil compromis d’obtenir les privilèges root sur d’autres serveurs et d’ajouter un nœud malveillant au réseau. Un bug transforme un accès autorisé sans privilèges en accès root via la redirection de socket unix.
• Selon les rapports, l’attaque respecte la politique SSH et nécessite que la redirection de ports soit activée. L’attaquant doit déjà contrôler un appareil du tailnet auquel la politique permet d’utiliser Tailscale SSH.

Réponse de Tailscale : selon un article de synthèse, le VP of Engineering Mike Shaver a répondu sur Reddit que, au vu de l’évaluation actuelle, Tailscale ne recommande pas de désactiver Tailscale SSH pendant la préparation des correctifs. Les mesures suggérées consistent à examiner les politiques d’accès SSH et à supprimer les autorisations de redirection SSH inutiles. L’article indique que Tailscale n’a pas communiqué de date de sortie des correctifs. The Hacker News, qui a également couvert le rapport, affirme que Tailscale lui a indiqué qu’un correctif était en préparation.

La divulgation a suscité beaucoup d’attention sur X : les publications d’IntCyberDigest et de The_Cyber_News avaient recueilli respectivement 4 539 et 3 314 points au 25 octobre.