Tailscale çarşamba günü düzeltmeyi yayımladı ve aynı yazının büyük bölümünü adı tartışarak geçirdi.
1.104.4 sürümü, Tailscale SSH'taki yetki yükseltme açıklarını ve Serve ile Funnel'daki hataları kapatıyor; ayrıntılar TS-2026-014 ile TS-2026-017 arasındaki dört güvenlik bülteninde. Sürüm, Cyberdione Labs'tan Erica Windisch'in 22-24 Ekim arasında tailscale 1.104.2 ve headscale 0.29.5 üzerinde test ettiği, beş sınıfta 11 bulgu içeren "Tailworm" raporunu yayımlamasından beş gün sonra geldi. Koordineli açıklama süreci işletilmedi: Tailscale raporun 24 Ekim Cumartesi sabahı ulaştığını, iki saat sonra yayımlandığını söylüyor.
Hata, girişten sonraki aşamada
Şirketin kendi anlatımı en açığı: sorun kimlik doğrulamada ya da politikayı değerlendiren katmanda değil, oturum yetkilendirildikten sonra izinlerin nasıl uygulandığındaydı. Tailscale SSH, farklı Unix kullanıcıları olarak oturum başlatabilmek için yükseltilmiş sistem ayrıcalıklarına ihtiyaç duyuyor; bu ayrıcalıklarla bağlanan kullanıcının oturumu arasındaki sınır her durumda korunamadı, SSH yönlendirmesi üzerinden de aşılabildi.
Araştırmacının laboratuvarında tek bir ele geçirilmiş cihaz, diğer sunucularda root'a ulaşmaya ve ağa sahte bir düğüm kaydetmeye yetti. Ad buradan geliyor: tek bir dayanak noktası, ağın geri kalanının anahtarına dönüşüyor. 11 bulgunun çoğu araştırmacı tarafından Yüksek veya Orta-Yüksek olarak derecelendirildi.
Şirketin kabul ettikleri ve itirazları
Tailscale ayrıcalık sınırının yanlış uygulandığını kabul ediyor, sorunları acil olarak nitelendiriyor ve yalnızca bildirilen belirtileri değil, ilgili hata sınıflarını da kapsayacak "mimari güvenceler" eklediğini söylüyor.
Çerçevelemenin neredeyse tamamına itiraz ediyor. Kimliği doğrulanmamış bir saldırgan rastgele Tailscale SSH sunucularına bağlanamaz: sömürü için yetkili bir eşte hâlihazırda bir dayanak, tailnet politika dosyasında açıkça izin verilmiş SSH erişimi ve açığı tetikleyecek koşullar gerekiyor. Makineler arası erişim yine politika dosyasıyla sınırlandığı için saldırgan yalnızca politikanın zaten izin verdiği makinelere ulaşabiliyordu.
Ve bu bir solucan değil. Şirket, "kendini kopyalayan, makineler arasında otomatik yayılan kötü amaçlı yazılım tanımına uymuyor" diyor: "Bunu, tailnet politika dosyasının izin verdiği bağlantılarla sınırlı yanal hareket olarak tanımlamak daha doğru."
Serve ve Funnel'daki beş bulgudan üçü hata ve düzeltildi. İkisi tasarım gereği: Funnel öznitelik denetimini atlamak yerel yönetici yetkisi gerektiriyor, TS_SERVE_ALLOW_ALL_INTERFACES ise isteğe bağlı bir ayar. Rapordaki Conn25 bulgusu hiç yayımlanmamış bir uygulama bağlayıcısına ait; kararlı sürümdeki bağlayıcılar etkilenmiyor.
Rapor ayrıca Tailscale'in sürdürmediği açık kaynak headscale kontrol sunucusunu da kapsıyordu. 0.29.6 sürümü 24 Ekim'de çıktı ve sürüm notlarında bu bulgular geçmiyordu. Bu kontrol düzlemini kendi barındıran ekipler, yayın itibarıyla satıcı düzeltmesi yerine geçici önlemlerle idare ediyor.
Aynı alt sistem, ikinci kez
Bozulan iki bileşen, haziranda da bozulan iki bileşen. 3 Haziran'da yayımlanan ve 1.98.9'da düzeltilen TS-2026-004 ile TS-2026-005, SSH Unix soket yönlendirmesinin sembolik bağlantı izinlerini yok saymasını ve Serve Unix soket vekil hedeflerinin root ile sınırlandırılmamasını ele alıyordu. Bir tekrarın ardından mimari güvence eklemek doğru tepki — ama haziran düzeltmelerinin aynı dikişe nokta yamalar olduğunun da itirafı.
Ne yapmalı
En az 1.104.4'e güncelleyin. Ardından politika dosyasını, artık kanıtlanmış biçimde olduğu şey olarak, yani güvenlik sınırı olarak ele alın. SSH kurallarını ikili izinlere dönüştürün: tek adlandırılmış kaynaktan tek adlandırılmış hedefe; kimlik genelinde ve etiket genelinde kabul kurallarını kaldırın, her kural eyleminde yönlendirmeyi reddedin. Hassas sistemlerde SSH kontrol modunu açın. Tailscale SSH'a ihtiyaç duymayan cihazlarda, başka bir erişim yolu olduğunu doğruladıktan sonra `tailscale set --ssh=false` çalıştırın. Kullanılmayan uygulama bağlayıcısı yeteneğini kaldırın, Unix soketlerine giden Serve yönlendirmelerini denetleyin.
Şüpheli bir düğüm varsa kontrol düzleminden silin. Yeniden imaj yüklemek, kopyalanmış düğüm anahtarlarını iptal etmez; Tailnet Lock imzalayan bir düğüm ele geçirildiyse Tailnet Lock'u döndürün.
Yapısal nokta yamadan sonra da geçerli. Sıfır güven ağı, erişim kararlarını tek yerde toplar; çalıştırmaya değer olmasının nedeni de budur ve oradaki hataların koruduğu herhangi bir sunucudaki hatadan kategorik olarak daha ağır olmasının nedeni de. Tailscale'in ürünü, çalınmış bir dizüstü bilgisayarın maymuncuğa dönüşemeyeceği garantisidir. Ekimde birkaç gün boyunca rapor bunun tersini söyledi.
