Onderzoeker publiceert 11 ongepatchte kwetsbaarheden in Tailscale en headscale, voornamelijk in Tailscale SSH

Erica Windisch van Cyberdione Labs publiceerde 11 bevindingen onder de naam Tailworm (tailworm.com) zonder gecoördineerde disclosure, waardoor de leverancier geen tijd had om eerst patches uit te brengen. Op 25 oktober waren er geen patches of CVE's gemeld.

Wat de onderzoeker meldt:

• De bevindingen vallen in vijf groepen: de SSH-server van Tailscale, de functies serve en app connector, de DERP-relayclient en headscale, de open-source, zelfgehoste Tailscale-controlserver.
• Ze testte Tailscale 1.104.2 en headscale 0.29.5 tussen 22 en 24 oktober 2026.
• De ernstigste groep betreft Tailscale SSH, dat binnen tailscaled draait, een proces met rootrechten. In haar lab maakten racecondities het mogelijk dat één gecompromitteerd apparaat roottoegang kreeg op andere servers en een malafide node aan het netwerk toevoegde. Eén bug zet geautoriseerde toegang zonder root om in roottoegang via het doorsturen van unix-sockets.
• Volgens berichten volgt de aanval het SSH-beleid en moet port forwarding ingeschakeld zijn. De aanvaller moet al een apparaat in de tailnet beheren dat volgens dat beleid Tailscale SSH mag gebruiken.

Reactie van Tailscale: volgens een samenvattend bericht antwoordde VP of Engineering Mike Shaver op Reddit dat Tailscale op basis van de huidige beoordeling niet aanraadt Tailscale SSH uit te schakelen terwijl de patches worden voorbereid. Aanbevolen stappen zijn het controleren van SSH-toegangsbeleid en het verwijderen van niet-benodigde machtigingen voor SSH-forwarding. Volgens het samenvattende bericht gaf Tailscale geen releasedatum voor de patches. The Hacker News, dat ook over het bericht schreef, meldt dat Tailscale heeft gezegd dat er een oplossing aankomt.

De bekendmaking trok veel aandacht op X: de berichten van IntCyberDigest en The_Cyber_News hadden op 25 oktober respectievelijk 4.539 en 3.314 punten.