Un ricercatore pubblica 11 vulnerabilità non corrette in Tailscale e headscale, perlopiù in Tailscale SSH

Erica Windisch di Cyberdione Labs ha pubblicato 11 vulnerabilità con il nome Tailworm (tailworm.com), senza una divulgazione coordinata, quindi il fornitore non ha avuto il tempo di correggerle prima. Al 25 ottobre non erano state segnalate patch né CVE.

Quanto riferisce la ricercatrice:

• Le vulnerabilità si dividono in cinque gruppi: il server SSH di Tailscale, le funzioni serve e app connector, il client del relay DERP e headscale, il server di controllo open source e self-hosted di Tailscale.
• Ha testato Tailscale 1.104.2 e headscale 0.29.5 tra il 22 e il 24 ottobre 2026.
• Il gruppo più grave riguarda Tailscale SSH, che viene eseguito all'interno di tailscaled, un processo con privilegi root. Nel suo laboratorio, alcune race condition hanno permesso a un dispositivo compromesso di ottenere i privilegi root su altri server e aggiungere un nodo non autorizzato alla rete. Un bug trasforma l'accesso autorizzato di un utente non root in accesso root tramite l'inoltro di socket Unix.
• Secondo quanto riportato, l'attacco rispetta i criteri delle policy SSH e richiede che l'inoltro delle porte sia abilitato. L'attaccante deve già controllare un dispositivo sulla tailnet a cui la policy consente di usare Tailscale SSH.

La risposta di Tailscale: secondo un post riepilogativo, il VP of Engineering Mike Shaver ha risposto su Reddit che, sulla base della valutazione attuale, Tailscale non consiglia di disattivare Tailscale SSH mentre vengono preparate le patch. Tra i passaggi suggeriti ci sono la revisione delle policy di accesso SSH e la rimozione delle autorizzazioni di inoltro SSH non necessarie. Il riepilogo afferma che Tailscale non ha indicato una data di rilascio delle patch. The Hacker News, che ha trattato la segnalazione, afferma che Tailscale gli ha detto che è in arrivo una correzione.

La divulgazione ha attirato molta attenzione su X: al 25 ottobre, i post di IntCyberDigest e The_Cyber_News avevano rispettivamente 4.539 e 3.314 punti.