Tailscale被曝11项安全问题：给服务器装了防盗门，却可能让黑客拿走总钥匙

contact@theblockbeats.org (律动BlockBeats)

动察 Beating AI 快讯，最近不少开发者建议，保护 VPS 最好的办法之一，就是关闭公网 SSH 入口，改用 Tailscale 远程访问。

结果 10 月 25 日，安全研究员 Erica Windisch 公布了一份名为 Tailworm 的报告，在 Tailscale 及其开源替代方案 headscale 中存在 11 项安全问题。最严重的一种情况，恰恰出在 Tailscale 自带的 SSH 功能上。

攻击者不需要破解 VPN。只要控制一台已获准通过 Tailscale SSH 访问目标服务器的设备，且 SSH 转发权限开放，就可能进一步夺取服务器的 root 权限。

漏洞出在权限隔离：Tailscale 后台以 root 身份运行，部分 SSH 转发操作也沿用了这个权限。研究员在实验中利用 Unix Socket 转发，绕过普通账户限制，成功通过 Docker 获得服务器 root 权限。

另一条攻击链还截获了设备注册密钥，在未启用 Tailnet Lock 的测试网络中加入了一台伪造服务器。

Tailscale 今年 6 月才修复过 SSH 的 Unix Socket 转发越权漏洞。同月，它还堵住了通过数字用户 ID `0` 取得 root 的漏洞；7 月又修复了通过特殊用户名 `-i` 绕过权限限制的问题。几个月后，研究员从同一套内置 SSH 的转发机制中，再次找到了提权路径。

Tailscale 工程副总裁 Mike Shaver 随后承认，团队已发现 SSH 授权后的权限越界问题，但尚未确认研究报告的全部结论，也不建议所有用户直接停用 Tailscale SSH。

10 月 25 日，工程团队在 GitHub 连续提交多项 SSH 改造方案，准备让转发操作使用实际登录用户的权限，而不是直接交给 root 进程执行。目前相关修复尚未发布正式版本。