Swati Khandelwal 28 Ekim 2026 Güvenlik Açığı / Ağ Güvenliği
Tailscale, yerleşik SSH sunucusundaki açıkları gidermek için 1.104.4 sürümünü yayınladı. Bu açıklar, saldırganın yalnızca root kullanıcısının erişebilmesi gereken diğer sunuculardaki hizmetlere ve dosyalara ulaşmasına izin verebiliyordu.
Açıklar, Tailscale SSH'nin ağ bağlantılarını nasıl yönlendirdiğinde bulunuyor. Bu işi Tailscale arka plan süreci root ayrıcalıklarıyla yürütüyor. Açıklardan yararlanmak için saldırganın, ağın erişim kurallarının SSH oturumu açmasına izin verdiği ve yönlendirmenin bu kuralda açık olduğu hedefe bir cihazı zaten kontrol etmesi gerekiyor.
Açıklar, Cyberdione Labs'tan Erica Windisch'in yayımladığı Tailworm raporundan geliyor. Rapor, düzeltmeden günler önce yayınlandı. Windisch, laboratuvarda Tailscale istemcisinin ve kendi kendine barındırılan headscale kontrol sunucusunun piyasaya sürülmüş sürümlerini test etti.
Tailscale SSH, kimlerin bağlanabileceğini parola veya anahtar yerine cihazın kimliği ve ağın politika dosyası üzerinden belirliyor. Bu yüzden saldırganın çalıntı kimlik bilgisine ihtiyacı yok; politika zaten güvendiği bir cihazda tutunma yeterli.
Tailscale'e göre açıklar, "kimliği doğrulanmamış bir saldırganın keyfi Tailscale SSH sunucularına bağlanmasına izin vermiyor" ve saldırgan yine de politika dosyası tarafından zaten izin verilen makinelerin ötesine geçemiyor.
Tailscale SSH sunucusu yalnızca Linux'ta ve açık kaynaklı macOS derlemesinde çalışıyor; saldırganın kendi cihazı her platformda olabilir.
Sorun soket yönlendirmede. İzin verilen bir SSH oturumu sunucudaki bir Unix soketine bağlantı yönlendirdiğinde Tailscale süreci yolu kontrol ediyor ancak root olarak çalışmaya devam ediyor. Zamanlama tuzağı, saldırganın bu kontrolün ardından farklı bir yol takas etmesine izin veriyor ve yönlendirmenin hangi soketlere ulaşabileceğini sınırlamak için tasarlanan korumayı bertaraf ediyor.
Windisch'in kendi testlerinde Docker kontrol soketine yönlendirme, yönetici hakkı olmadan root kabuğu üretti ve sistem parola dosyası /etc/shadow okundu. Tailscale'in duyurusu erişimi daha dar tanımlıyor; saldırganın Docker soketi veya tailscaled yerel API'si gibi root yetkisi gerektiren soketlere ulaşabileceğini belirtiyor.
1.104.4'te Tailscale, sunucuyu yönlendirmeyi oturum açan kullanıcı olarak gerçekleştirecek şekilde değiştirdi ve daha önceki yol kontrolü yerine işletim sisteminin kendi dosya izinlerine güvenmeye başladı. Yayın 4 güvenlik bültenini kapsıyor:
TS-2026-014: Yukarıdaki SSH soket yönlendirme açıkları; izin verilen bir oturumun Docker soketi veya tailscaled yerel API'si gibi root'a özel soketlere ulaşmasına izin veriyor.
TS-2026-015: İzin verilen bir SSH oturumunun sunucunun belleğini tüketip Tailscale sürecini çökertmesi ve o düğümdeki tüm Tailscale ağını kesmesi.
TS-2026-016: tailscale serve'de bir Unix soketine yönlendirme yapılmasının tailscaled yerel API'sine ulaşmasına ve düğümün uzaktan kontrol edilmesine olanak tanıyan bir açık, artı ilgili soket takas sorunu.
TS-2026-017: TLS serve ve 2 veya daha fazla bağlamda, bir isteğin başka bir bağlamın izin başlıklarını alabileceği bir açık.
Ne Yapılmalı
Tailscale SSH kullananlar sürüm 1.104.4 veya sonrasına güncellemeli. Bir sunucuyu henüz güncelleyemiyorsanız, tailscaled hizmet ortamında TS_SSH_DISABLE_FORWARDING=1 ayarını yapıp hizmeti yeniden başlatabilirsiniz; Tailscale'e göre bu, Tailscale SSH'yi devre dışı bırakmadan yönlendirmeyi kapatıyor ve daha ciddi bulgulardan birkaçını engelliyor.
Tailscale ayrıca SSH erişim kurallarının gözden geçirilmesini öneriyor; yalnızca erişime ihtiyacı olan kullanıcıların ve cihazların erişimi olsun.
Tailscale, hassas sistemler için SSH kontrol modunun kullanılmasını öneriyor. Bu mod, oturum başlamadan önce kullanıcının yeniden oturum açmasını gerektiriyor. Kontrol modu bu yönlendirme açıklarını durdurmuyor; yönlendirme zaten onaylanmış bir oturum içinde gerçekleşiyor.
Bir sunucu zaten tehlikeye girmiş olabilirse, Windisch'in raporu düzeltmenin tek başına yeterli olmadığını söylüyor. Çalınan bir cihaz anahtarı, cihaz kontrol düzleminde silinene kadar geçerli kalıyor; makinenin yeniden imajlanması anahtarı iptal etmiyor. Tailscale'in duyuruları bu durumu kapsamıyor.
Durum, kendi kendine barındırılan kontrol sunucusu headscale'de daha kötü. Headscale'de SSH yönlendirmesi her kabul edilen oturumda veriliyor ve politika ile kapatılamıyor; bu yüzden Windisch'in raporu headscale'deki her SSH izninin root vermesi gibi ele alınması gerektiğini belirtiyor. 13 Ekim tarihli en yeni headscale sürümü 0.29.5, bildirilen sorunları düzeltmiyor.
Solucan mı?
Windisch zinciri "solucanlanabilir" olarak adlandırdı. Testlerinde tek bir tehlikeye uğramış cihaz, parolaya, çalınmış anahtara ve kullanıcı eylemine gerek kalmadan, politika tarafından izin verilen her cihaza bir adımda bir saniyeden kısa sürede yayılabildi.
Bu testlerde yayılmayı durduran iki kontrol vardı. Erişim kurallarının tek tek cihazdan cihaza eşlemeler olarak yazılması yayılmayı sınırladı ve cihaz anahtarlarının TPM gibi donanıma bağlanması çalınan kimliğin başka yerde yeniden kullanılmasını engelledi.
Tailscale solucan tanımını reddetti. Bulgular, makineler arasında kendi kendine çoğalan kötü amaçlı yazılım anlatmıyor; şirket, hareketin politika dosyası tarafından zaten izin verilen bağlantılarla sınırlı kaldığını söyledi.
Şirket, ayrıcalık yükseltme sorunlarını "ciddi güvenlik sorunları" olarak nitelendirdi, temel olanları yeniden ürettiğini belirtti ve hangi yapılandırmaların etkilendiğini hâlâ netleştirdiğini ekledi.
Açıklama ve Daha Önceki Düzeltmeler
Yayınlandığı tarih itibarıyla 4 bültenin hiçbirinde CVE tanımlayıcısı veya şiddet puanı yok ve hiçbiri en eski etkilenen sürümü belirtmiyor. Rapor ayrıca Tailscale'in uygulama bağlayıcılarını ve serve ile funnel özelliklerini de kapsıyordu.
Tailscale, uygulama bağlayıcı bulgusunun conn25'te olduğunu, bu özelliğin deneysel olduğunu ve henüz yayınlanmadığını söyledi; müşterilerin kullandığı bağlayıcılar etkilenmiyor. 5 serve ve funnel bulgusundan 3'ünü düzelttiğini, diğer 2'sinin tasarlandığı gibi çalıştığını belirtti.
Windisch, raporu Tailscale ile koordineli olarak yayınlamadan önce yayımladı; bunu "bildirildi ancak koordine edilmedi" olarak tanımladı. Tailscale, raporu 24 Ekim Cumartesi sabahı Windisch'in yayınlamasından yaklaşık 2 saat önce aldığını ve mühendislerin zaten aynı kod bölümlerine baktığını söyledi.
Ne Tailscale ne de rapor, açıkların gerçek saldırılarda kullanıldığını söylüyor. Kanıt kavramı kodu herkese açık değil ve Windisch'in yalnızca Tailscale güvenlik ekibine verdiğini söyledi.
Rapor, bu yıl Tailscale'de aynı bölümde bir dizi düzeltmenin sonuncusu. Haziranda Tailscale, Tailscale SSH'nin Unix soket yönlendirmesindeki ayrı bir açığı 1.98.9 sürümünde kapattı; bu açık ayrıcalıksız bir kullanıcının ayrıcalıklı bir sokete ulaşmasına izin veriyordu.
