Tailscale prepara patches para falhas em SSH que permitem excesso de privilégios

O conjunto de falhas, batizado de Tailworm, vem de um relatório da Cyberdione Labs com 11 achados que afetam o cliente Tailscale 1.104.2 e o headscale 0.29.5, servidor de controle open source que as empresas podem hospedar por conta própria. Seis achados têm severidade alta, e quatro deles envolvem o Tailscale SSH, que concede acesso por identidade do dispositivo e política de rede, sem senha ou chave.

Segundo o relatório, o Tailscale SSH executa algumas operações de encaminhamento com privilégios de root, e as proteções que deveriam limitá-las podem ser contornadas. Um invasor com um dispositivo comprometido poderia atacar qualquer servidor que esse dispositivo alcança por Tailscale SSH, desde que a regra de acesso permita forwarding. Em laboratório, isso levou a root nos servidores-alvo e ao roubo de chaves capazes de adicionar dispositivos falsos à rede. Os pesquisadores mostraram que a cadeia é wormable: sem credenciais de usuário, o ataque automatizado saltou entre máquinas em menos de um segundo por salto. O ponto de entrada poderia ser phishing, uma aplicação web vulnerável ou um pacote malicioso.

O relatório também cita falhas no app connector experimental, no recurso Serve, no headscale e no componente de relay, com risco de acesso a serviços de metadados de nuvem e redes internas, exposição da interface administrativa de um nó e negação de serviço. A Tailscale diz que a maioria dos problemas trata do que acontece depois de o usuário já estar autorizado, e que isso difere de um atacante não autenticado conectando a máquinas arbitrárias. A empresa não recomenda desativar o Tailscale SSH de forma geral. Nem a Tailscale nem o relatório citam exploração ativa. A Cyberdione publicou antes de haver correção, o que gerou críticas. Depois, a Tailscale divulgou os achados completos e quatro boletins de segurança com orientação de remediação.

Em 27 de outubro de 2026, o CEVIU noticiou "Relatório aponta falhas verificadas no Tailscale v1.104.2 e no headscale v0.29.5", com foco no encaminhamento de Unix-socket executado como root no Tailscale SSH. Em 28 de outubro de 2026, o CEVIU publicou "Tailscale atualiza investigação sobre o Tailscale SSH e cita escalonamento de privilégios", sobre revisão de políticas e desativação de forwarding desnecessário até haver cliente corrigido. O estágio atual é a Tailscale preparando o patch e já publicando os achados completos e os quatro boletins.

Para quem opera Tailscale em ambiente corporativo, a leitura é que a mitigação depende de política, não de produto. Regras de acesso amplas com forwarding habilitado ampliam o raio de explosão de um único dispositivo comprometido. Vale inventariar quais regras permitem forwarding, aplicar o princípio do menor privilégio e agendar a atualização do cliente assim que o patch sair. Quem hospeda headscale precisa incluir o servidor de controle na mesma revisão.