Tailscale被曝11項安全問題：給伺服器裝了防盜門，卻可能讓駭客拿走總鑰匙

動察 Beating AI 快訊，最近不少開發者建議，保護 VPS 最好的辦法之一，就是關閉公網 SSH 入口，改用 Tailscale 遠端存取。

結果 10 月 25 日，安全研究員 Erica Windisch 公布了一份名為 Tailworm 的報告，在 Tailscale 及其開源替代方案 headscale 中存在 11 項安全問題。最嚴重的一種情況，恰恰出在 Tailscale 自帶的 SSH 功能上。

攻擊者不需要破解 VPN。只要控制一台已獲准透過 Tailscale SSH 存取目標伺服器的設備，且 SSH 轉發權限開放，就可能進一步奪取伺服器的 root 權限。

漏洞出在權限隔離：Tailscale 後台以 root 身份運行，部分 SSH 轉發操作也沿用了這個權限。研究員在實驗中利用 Unix Socket 轉發，繞過普通帳戶限制，成功透過 Docker 獲得伺服器 root 權限。

另一條攻擊鏈還截獲了設備註冊密鑰，在未啟用 Tailnet Lock 的測試網路中加入了一台偽造伺服器。

Tailscale 今年 6 月才修復過 SSH 的 Unix Socket 轉發越權漏洞。同月，它還堵住了透過數字用戶 ID `0` 取得 root 的漏洞；7 月又修復了透過特殊用戶名 `-i` 繞過權限限制的問題。幾個月後，研究員從同一套內置 SSH 的轉發機制中，再次找到了提權路徑。

Tailscale 工程副總裁 Mike Shaver 隨後承認，團隊已發現 SSH 授權後的權限越界問題，但尚未確認研究報告的全部結論，也不建議所有用戶直接停用 Tailscale SSH。

10 月 25 日，工程團隊在 GitHub 連續提交多項 SSH 改造方案，準備讓轉發操作使用實際登入用戶的權限，而不是直接交給 root 進程執行。目前相關修復尚未發布正式版本。