Tailscale merilis versi 1.104.4 pada 28 Oktober untuk menutup empat kelemahan di fitur Tailscale SSH dan Tailscale Serve. Celah utamanya memungkinkan sesi SSH yang sebenarnya diizinkan oleh kebijakan akses menjangkau soket Unix yang seharusnya hanya terbuka bagi root, seperti soket Docker atau API lokal tailscaled. Menurut The Hacker News, belum ada nomor CVE maupun skor keparahan untuk keempat bulletin ini.
Empat bulletin dalam satu rilis
Tailscale menerbitkan bulletin TS-2026-014 sampai TS-2026-017 bertanggal 26 Oktober. TS-2026-014 menyangkut penerusan soket Unix lewat SSH: proses tailscaled memvalidasi jalur secara leksikal, tetapi menjalankan operasinya sebagai root, sehingga ada celah waktu yang bisa mengelabui daftar jalur yang diizinkan. TS-2026-015 adalah pemborosan memori pada penanganan sesi SSH yang bisa membuat tailscaled dimatikan sistem dan memutus jaringan node tersebut. TS-2026-016 memungkinkan backend Serve bertipe soket Unix menjangkau soket berhak istimewa, termasuk API lokal. TS-2026-017 membuat kepala permintaan berisi kapabilitas dari satu mount bisa bocor ke mount lain pada Serve TLS dengan HTTP/2.
Penyerang harus lebih dulu menguasai perangkat yang diizinkan membuka sesi SSH ke target, dan penerusan harus diperbolehkan oleh kebijakan. Dengan kata lain, celah ini memperluas dampak satu perangkat yang sudah diretas, bukan membuka pintu dari internet.
Laporan awalnya datang dari Erica Windisch dari Cyberdione Labs dengan nama Tailworm. Laporan itu dipublikasikan tanpa koordinasi. Tailscale menyatakan baru menerimanya pada 24 Oktober, sekitar dua jam sebelum tayang, dan timnya saat itu sudah memeriksa kode yang sama, menurut The Hacker News. SecurityWeek juga memberitakan perbaikan tergesa-gesa ini.
Langkah yang perlu Anda ambil
Perbarui semua node ke Tailscale 1.104.4 atau yang lebih baru. Jika belum bisa memperbarui, Tailscale menyarankan menetapkan variabel lingkungan TS_SSH_DISABLE_FORWARDING=1 pada layanan tailscaled lalu memulai ulang layanan. Cara ini mematikan penerusan tanpa menonaktifkan Tailscale SSH secara keseluruhan. Tinjau juga aturan akses SSH agar hanya pengguna dan perangkat yang perlu saja yang punya akses.
Mode check pada SSH tidak menghentikan celah ini, sebab penerusan terjadi di dalam sesi yang sudah disetujui. Bila Anda curiga sebuah server sudah disusupi, pembaruan saja tidak cukup. The Hacker News mencatat perangkat itu perlu dihapus dari bidang kontrol, karena memasang ulang sistem tidak mencabut kunci perangkatnya.
Pengguna headscale belum terlindungi
Server kontrol swadaya headscale belum mendapat perbaikan. Rilis terbarunya, 0.29.5 tertanggal 13 Oktober, tidak memuat tambalan untuk masalah ini, dan penerusan tidak bisa dimatikan lewat kebijakan. Pengelola headscale sebaiknya menganggap setiap izin SSH setara dengan akses root sampai ada perbaikan.
Bagi tim yang memakai Tailscale untuk mengakses server produksi, prioritasnya jelas: perbarui node yang membuka SSH, matikan penerusan bila tidak dipakai, dan periksa siapa saja yang boleh masuk.
Sumber: The Hacker News dan bulletin keamanan Tailscale. Gambar: The Hacker News.