Tailscaleに未修正の穴「Tailworm」　端末1台から他のサーバーのrootに

社内の機器をつなぐVPNの道具「Tailscale」と、その管理サーバーを自前で動かすオープンソースの「headscale」に、合わせて11件の穴があるとする報告「Tailworm」が公開された。Tailscale SSHで転送を許していると、乗っ取られた端末1台から、通信を許した先のサーバーで管理者（root）の権限を取れるという。修正版はまだ出ていない。開発用のサーバーやCIの機械をTailscale SSHでつないでいる人は、今のうちにSSHの規則を絞っておきたい。

転送の機能が管理者の権限で動く

報告を出したのは、Cyberdione LabsのErica Windisch氏だ。Tailwormの報告によると、10月22日から24日にかけて、Tailscaleの1.104.2とheadscaleの0.29.5を手元の試験の環境で調べ、全部の穴を再現して確かめた。

中心にあるのは、Tailscale SSHの転送の機能だ。Tailscale SSHは管理者の権限で動くTailscaleの常駐の処理の中にあり、「ssh -L」や「ssh -R」でUnixソケットを転送する時も、その権限のまま動く。報告は、ふつうのSSHの接続から、Dockerの操作の窓口のような管理者しか使えないソケットにつないだり、本物のソケットを自分のものに差し替えたりできたとしている。試験では、管理者として命令を動かせたほか、新しい機器をネットワークに加える鍵も抜き取れた。

Tailscale SSHは、端末そのものの確認だけで接続を通し、パスワードや鍵は求めない。このため、ネットワークの規則が接続を許している端末を1台乗っ取れば、そこから先へ広がる。報告は、試験の環境では、規則が許す先の機器へ1台あたり1秒かからずに自動で広がったと書いている。広がりを止めたのは、接続元と接続先を1対1で決める規則だけだったという。

ほかの穴とTailscaleの答え

残りの穴は、試験中の機能「app connector」で、許可していない宛先に通信を回せるもの、headscaleをログインなしで落とせるもの、「tailscale serve」の設定次第で管理用の窓口が外から使えるものなどだ。

The Hacker Newsの記事によると、TailscaleのMike Shaver氏はRedditで、報告を受け取り、同じ所を外部の専門家と調べて直す問題を見つけたと答えた。どの設定が影響を受けるかはまだ調べていて、全員にTailscale SSHを止めるよう勧めているわけではないという。確認した時点で、Tailscaleのセキュリティの告知にこの件の告知は無く、CVEの番号も付いていない。

修正版を待つ間に見直す所

まず、Tailscaleの規則のうちSSHの行を見直す。タグやユーザーの単位でまとめて許す書き方をやめ、接続元と接続先の機器を1対1で書く。rootでの接続も許さない。まずは、どの機器でTailscale SSHを有効にしているかを一覧にするところから始めるとよい。報告は、接続先の利用者の権限を下げても、この穴への備えにはならないと書いている。

Tailscaleの提供するサービスを使っている人は、SSHの規則ごとに転送を許すかを設定できるので、要らない所では転送を切る。headscaleの0.29.5では転送を切れず、SSHを許した接続はrootを渡すのと同じに扱うよう報告は勧めている。

あわせて、「tailscale serve」でUnixソケットへ転送している設定を消し、機器の鍵に期限を付けておく。乗っ取りが疑われる機器は、作り直すだけでは足りない。管理画面から機器を消さないと、抜き取られた鍵が使えるままになる。

編集部の見方

Claude CodeやCodexの作業用に、自宅や借りたサーバーをTailscale SSHでつないでいる人は多い。エージェントが入れた依存のパッケージから1台が乗っ取られると、その機械が届く先の全部が危うくなる、というのがこの報告の筋だ。修正版を待つ間も、SSHの規則を1対1に絞る作業は数分でできる。