Nhà nghiên cứu công bố 11 lỗ hổng chưa được vá trong Tailscale và headscale, phần lớn nằm ở Tailscale SSH

Erica Windisch thuộc Cyberdione Labs đã công bố 11 phát hiện dưới tên Tailworm (tailworm.com) mà không phối hợp công bố trước, khiến nhà cung cấp không có thời gian vá trước. Tính đến ngày 25 tháng 10, chưa có bản vá hay CVE nào được báo cáo.

Nhà nghiên cứu báo cáo:

• Các phát hiện thuộc năm nhóm: máy chủ SSH của Tailscale, các tính năng serve và app connector, ứng dụng khách chuyển tiếp DERP, và headscale — máy chủ điều khiển Tailscale mã nguồn mở tự lưu trữ.
• Bà đã kiểm thử Tailscale 1.104.2 và headscale 0.29.5 trong khoảng từ ngày 22 đến 24 tháng 10 năm 2026.
• Nhóm nghiêm trọng nhất nằm trong Tailscale SSH, chạy bên trong tailscaled, một tiến trình có đặc quyền root. Trong phòng thí nghiệm của bà, các điều kiện tranh chấp cho phép một thiết bị bị xâm phạm có được quyền root trên các máy chủ khác và thêm một nút giả mạo vào mạng. Một lỗi biến quyền truy cập không phải root đã được cấp phép thành quyền root thông qua chuyển tiếp unix socket.
• Các báo cáo cho biết cuộc tấn công tuân theo chính sách SSH và yêu cầu bật chuyển tiếp cổng. Kẻ tấn công phải kiểm soát sẵn một thiết bị trong tailnet mà chính sách cho phép sử dụng Tailscale SSH.

Phản hồi của Tailscale: theo một bài đăng tóm tắt, VP of Engineering Mike Shaver trả lời trên Reddit rằng, theo đánh giá hiện tại, Tailscale không khuyến nghị tắt Tailscale SSH trong lúc chuẩn bị bản vá. Các bước được đề xuất là rà soát chính sách truy cập SSH và gỡ bỏ những quyền chuyển tiếp SSH không cần thiết. Bài tóm tắt cho biết Tailscale chưa đưa ra ngày phát hành bản vá. The Hacker News, trang này cũng đưa tin về báo cáo, cho biết Tailscale nói với họ rằng bản sửa lỗi đang được triển khai.

Thông tin công bố thu hút sự chú ý rộng rãi trên X: đến ngày 25 tháng 10, các bài đăng của IntCyberDigest và The_Cyber_News lần lượt có 4.539 và 3.314 điểm.