Tailscale SSH 曝 Tailworm 系列缺陷：一台设备被控即可横取 root

作者

10 月 25 日，Cyberdione Labs 的 Erica Windisch 公开代号 Tailworm 的研究，11 项发现集中打在 Tailscale SSH 与开源自建版 headscale 上。结论很直白：只要攻击者已经控制 tailnet 内一台被 ACL 允许连目标机的设备，SSH 端口转发就能把这份信任一路延伸到 root。截至发稿，Tailscale 没有安全公告，没有 CVE 编号，也没有补丁。

事件概述

报告在 2026 年 10 月 25 日发布，测试对象是 Tailscale 1.104.2 与 headscale 0.29.5，在受控实验环境里做了三天。11 项发现里最重的一条落在 tailscaled 内置的 SSH server 上——那个进程本身以 root 运行。

Tailscale 工程副总裁 Mike Shaver 在 Reddit 上确认收到报告，称公司此前已在与外部安全专家排查同类问题，正在做修复，并且不建议现在就让所有人把 Tailscale SSH 全关。截至目前，没有其他研究者复现这套结论，也没有 CVE 或官方公告。

技术细节

Tailscale SSH 与传统 OpenSSH 的差别在认证模型：不发密码、不发密钥，靠访问控制列表判断哪台设备能连哪台机。这个设计省掉了密钥管理，代价是把安全边界整体押在 ACL 上。一旦某台被允许的设备失陷，凭据这层防线等于不存在。

三条主要路径

  • 打到特权 socket：用标准 SSH 端口转发连上本应只有 root 能访问的本地系统 socket，直接读到 /etc/shadow 这类文件。
  • 偷换 socket：把 root 拥有的 socket 替换成攻击者自己的，从而获得一条以 root 执行的命令通道。
  • 抢入门密钥：用竞态绕过文件访问的安全检查，抓走设备入网用的 enrollment key，再把攻击者自己的机器作为可信服务器拉进 tailnet。

自建场景更难看。headscale 0.29.5 上端口转发无法关闭，研究者的结论是：在这个版本里，任何 SSH 授权都应当按授权了 root 来对待。报告另指出 headscale 存在内存问题，可被用来做内存耗尽；实验性 app connector 特性 conn25 则可能让获准用户把流量送到未批准的落地，包括云厂商的元数据服务——那里通常躺着实例凭据。

Windisch 把这个特性形容为 wormable：一个普通立足点，经 mesh 网络放大成机群级特权访问，按机器速度扩散。需要说明的是，扩散是在实验室条件下、且 ACL 写得足够宽时才成立的。2026 年内 Tailscale 已修过同类问题 TS-2026-004——1.98.9 的 Unix socket 转发能打到特权 socket——Tailworm 与它不是同一批问题。

影响评估

没有 CVE，也就没有 CVSS。但按前置条件推后果，这是一次潜在的全网接管：

  • 前置条件窄但常见：Tailscale SSH 开了端口转发，且攻击者已经控制一台被 ACL 允许连目标的设备。
  • 实验室里需要广域规则（源头写整组、目标写整组）才扩散得动；改成单点对单点的 ACL 之后，测试中的扩散被阻断。
  • 绑定硬件的设备密钥（TPM、Secure Enclave）在测试中明显抑制了扩散，这也是报告给出的架构级建议。
  • Scattered Spider 此前就被记录过用 Tailscale 在内网静默移动，说明设备互信的网络本身就是攻击面，而不只是运维便利。

最尴尬的是时间点：报告公开时没有补丁，管理员只能靠改配置。而重装一台失陷设备并不能吊销已经被复制走的密钥。

修复建议

没有补丁的阶段，缓解措施就是控制面本身：

  • ACL 全部改写成严格的单源单目的对，删掉组到组这类宽规则。
  • 关端口转发：托管版可按规则关；自建 tailscaled 在守护进程环境里设 TS_SSH_DISABLE_FORWARDING=1；headscale 0.29.5 关不掉，只能靠 ACL 收窄。
  • 撤掉所有指向 Unix socket 的 tailscale serve forward。
  • app connector 权限只留给确实需要的设备，conn25 这个实验特性先别上生产。
  • 开启 node key 过期，让被偷走的密钥不会永久有效。
  • 设备一旦确认失陷，在控制平面上删除它——这是唯一能吊销已复制密钥的动作。
  • SSH check mode 能加一道登录确认，但不解决提权本身，别把它当解药。
  • 检测：tailnet 内出现未经审批的新设备、异常的 enrollment 记录、非预期的远程命令与 socket 访问。

参考来源