Tailscale SSH Açığı: Ele Geçirilen Bir Cihaz Ağdaki Tüm Sunuculara Sıçrayabilir

Tailscale ağında ele geçirilen tek bir cihaz, ağ erişim kurallarının izin verdiği diğer sunucularda root yetkisi kazanmak için kullanılabilir. Bu bulgular, Cyberdione Labs'tan güvenlik araştırmacısı Erica Windisch tarafından 25 Ekim tarihinde yayımlanan Tailworm adlı raporda kamuoyuyla paylaşıldı. Saldırının gerçekleşmesi için iki koşulun bir arada bulunması gerekiyor: Tailscale SSH'ın port yönlendirmeye izin verecek biçimde yapılandırılmış olması ve saldırganın, erişim kurallarına göre hedef sunucuya bağlanma yetkisi tanınan bir cihazı daha önceden ele geçirmiş olması.

Saldırı Nasıl İşliyor?​

Tailscale SSH, geleneksel SSH sunucularından farklı çalışıyor. Bağlanan kullanıcının şifresini ya da anahtarını doğrulamak yerine cihazı tanımlıyor; tek bir erişim kuralı, o cihazın hedefle SSH oturumu açıp açamayacağını belirliyor. Bu yapı nedeniyle saldırı, çalınmış şifre veya anahtar gerektirmiyor. Yalnızca bir cihazda ilk tutunma noktasına ihtiyaç duyuluyor; rapor bu tutunma noktasının savunmasız bir web uygulaması, zehirlenmiş bir yazılım paketi, kimlik avı ya da çalınmış oturum bilgileri aracılığıyla elde edilebileceğini belirtiyor. Tailscale'in kendisi bu ilk adımı sağlamıyor.
Windisch, laboratuvar ortamında sorunu aşama aşama gösterdi. Standart SSH port yönlendirmesi kullanılarak açılan sıradan bir oturumda, root düzeyinde çalışan Tailscale süreci yalnızca root'un erişmesi gereken bir sistem soketine bağlandı; yönetici hakları olmaksızın root erişimi elde edildi ve sistem parola dosyası neredeyse anında okundu. İkinci yöntemde root'a ait bir soket saldırganın soketiyle değiştirilerek belirli servislere doğrudan root komutu çalıştırıldı. Üçüncü yöntemde ise yönlendirmenin hangi dosyalara erişebileceğini sınırlamaya yönelik bir güvenlik denetimi, sistemin bir dosya yolunu kontrol ettiği an ile kullandığı an arasındaki yarış koşuluyla aşıldı.
Laboratuvarda bu zincir daha da ileri götürüldü: Ağa yeni cihaz kaydetmek için kullanılan bir anahtar ele geçirildi ve bu anahtar, saldırgana ait bir makinenin ağa güvenilir sunucu olarak katılmasında kullanıldı. Bu son adım, Tailscale'in Tailnet Lock özelliğinin etkin olmadığı ağlarda baştan sona çalıştı. Özelliğin açık olduğu ağlarda ise gerekli gizli bilgiler iletim sırasında ele geçirildi; ancak son adım tamamlanamadı.

"Solucan Gibi Yayılabilir" Değerlendirmesi ve Tartışmalar​

Windisch, genel sonucu "wormable" yani solucan gibi yayılabilir olarak tanımladı. Laboratuvar testlerinde, erişim kurallarının izin verdiği her cihaza şifresiz, anahtarsız ve kullanıcı müdahalesi olmaksızın adım başına bir saniyenin altında sıçranabildi. Raporda bu durum şu sözlerle özetleniyor: "Ağ örgüsü, sıradan bir tutunma noktasını makine hızında filoya yayılan ayrıcalıklı erişime dönüştürüyor." Araştırmacı, bu yayılımı yalnızca laboratuvarda gözlemlediğini ve gerçek ağlarda böyle bir saldırının yaşandığını görmediğini vurguluyor.
Raporu inceleyen bazı araştırmacılar "wormable" nitelendirmesini sorguladı; bir kısmı ise root erişimi bulgusunu ciddi olarak değerlendirdi. Windisch, kanıt niteliğindeki kavram doğrulama kodunu kamuoyuyla paylaşmadığını ve yalnızca Tailscale'in güvenlik birimiyle paylaştığını belirtti. Tüm bulgular şu an için yalnızca Windisch'in raporuna dayanıyor; başka hiçbir araştırmacı bunları kamuoyu önünde doğrulamadı ve Tailscale de spesifik teknik iddiaları onaylamadı.

Tailscale'in Yanıtı ve Açıklama Süreci​

Yayın tarihi itibarıyla Tailscale'in bir güvenlik bülteni yayımlamadığı, CVE numarası atamadığı ve düzeltilmiş bir sürüm çıkarmadığı görülüyordu. Şirketin mühendislik başkan yardımcısı Mike Shaver, Reddit'te yaptığı açıklamada raporun kendilerine ulaştığını, aynı alanlara dış güvenlik uzmanlarıyla birlikte zaten baktıklarını ve üzerinde çalıştıkları sorunlar tespit ettiklerini söyledi. Shaver, hangi yapılandırmaların etkilendiğini belirlemeye devam ettiklerini ve "herkesin Tailscale SSH'ı devre dışı bırakmasını önermediğini" de ekledi.
Açıklama sürecine ilişkin de bir tartışma yaşandı. Ycombinator HN'de en az bir kullanıcı, Tailscale'e önceden haber verilmeden yayın yapılmasını sorumsuzluk olarak nitelendirdi. Windisch ise The Hacker News'e verdiği yanıtta raporu ve kavram doğrulama kodunu yayından önceki cumartesi günü şirketin güvenlik birimine ilettiğini, şirketin genel müdürüyle daha önce de mimari kaygılarını paylaştığını ve dosya özetini kamuoyuyla paylaşarak kullanıcılara Tailscale SSH'ı devre dışı bırakmalarını tavsiye ettiğini açıkladı.

Etkilenen Yapılandırmalar ve Alınabilecek Önlemler​

Yöneticilerin ne yapabileceği, ağın nerede çalıştığına göre değişiyor. Tailscale'in barındırılan hizmetinde port yönlendirme kural bazında kapatılabiliyor. Headscale 0.29.5 sürümünde ise yönlendirme hiçbir şekilde devre dışı bırakılamıyor; bu nedenle rapor, söz konusu yapılandırmadaki her SSH izninin hedef sunucuda root erişimi verdiği gibi değerlendirilmesi gerektiğini söylüyor.
Rapor ve Tailscale'in kendi tavsiyeleri büyük ölçüde örtüşüyor. Tailscale SSH erişim kuralları gözden geçirilmeli; kimlik veya etikete dayalı geniş kapsamlı kurallar kaldırılarak her kural tek bir kaynak-hedef çifti biçiminde yazılmalı. Rapor, bu kural yapısının testlerde yayılımı durduran tek kontrol olduğunu belirtiyor. Port yönlendirme mümkün olan yerlerde kapatılmalı; app connector izinleri ihtiyaç duymayan cihazlardan alınmalı; Unix soketine yönlendiren tailscale serve forward yapılandırmaları kaldırılmalı; düğüm anahtarı süre sonu etkinleştirilmeli. Bir cihaz ele geçirilmişse kontrol düzleminde silinmesi gerekiyor; makinenin yeniden görüntülenmesi, saldırganın kopyalamış olabileceği anahtarları iptal etmiyor. Tailscale ayrıca oturum başlamadan önce ek bir doğrulama adımı ekleyen SSH denetim modunu ve otomatik güncellemeleri etkinleştirmeyi öneriyor; ancak denetim modu ayrıcalık yükseltme sorununu çözmüyor, yalnızca önüne ek bir engel koyuyor.
SSH sorunu, raporun 11 bulgusundan yalnızca biri. Rapor aynı zamanda Tailscale'in uygulama bağlayıcılarını, serve özelliğini, cihazlar arası kullanılan DERP aktarıcısını ve headscale'i de kapsıyor. Windisch, The Hacker News'e SSH ayrıcalık yükseltmesinin "endişe verici" olduğunu, ancak conn25 adlı deneysel özelliğe ilişkin uygulama bağlayıcısı bulgusunun "bazı kuruluşlar için daha büyük etki yaratabilecek" nitelikte olduğunu söyledi. Bu bulguya göre izinli bir kullanıcı, güvenlik ekibinin onaylamadığı hedeflere, bulut sağlayıcısının sunucu kimlik bilgileri dağıtabilen meta veri hizmetleri dahil, trafik yönlendirebiliyor. Tailscale'in daha önce de aynı alanda sorunlar yaşadığı görülüyor: 2026'nın başlarında şirket, SSH Unix soket yönlendirmesinin ayrıcalıklı bir sokete ulaşabildiği açık dahil birkaç Tailscale SSH ve sunucu soket işleme açığını 1.98.9 sürümüyle kapattı.

Sıkça Sorulan Sorular​

Tailworm raporu nedir ve kim tarafından yayımlandı?​

Tailworm, Cyberdione Labs'tan güvenlik araştırmacısı Erica Windisch tarafından 25 Ekim'de yayımlanan bir güvenlik araştırma raporudur. Rapor, Tailscale SSH ve ilgili özelliklerdeki 11 güvenlik bulgusunu laboratuvar ortamında gerçekleştirilen testlere dayanarak açıklıyor; gerçek ağlara yönelik saldırıları değil, yazılım üzerinde yapılan denemeleri anlatıyor.

Saldırı için hangi koşulların bir arada bulunması gerekiyor?​

Saldırının gerçekleşmesi için iki koşul gerekiyor: Tailscale SSH'ın port yönlendirmeye izin verecek biçimde yapılandırılmış olması ve saldırganın, ağ erişim kurallarına göre hedef sunucuya bağlanma yetkisi tanınan bir cihazı önceden ele geçirmiş olması. Tailscale, bu ilk tutunma noktasını kendisi oluşturmuyor.

Tailscale bu bulgulara nasıl yanıt verdi?​

Mühendislik Başkan Yardımcısı Mike Shaver, Reddit'te raporun kendilerine ulaştığını, dış güvenlik uzmanlarıyla aynı alanlara zaten baktıklarını ve üzerinde çalıştıkları sorunlar tespit ettiklerini açıkladı. Yayın tarihi itibarıyla Tailscale'in bir güvenlik bülteni yayımlamadığı, CVE numarası atamadığı ve düzeltilmiş bir sürüm çıkarmadığı görülüyordu. Shaver, herkesin Tailscale SSH'ı devre dışı bırakmasını önermediğini de belirtti.

Headscale kullanan ağlar neden daha fazla risk altında?​

Headscale 0.29.5 sürümünde SSH port yönlendirmesi hiçbir şekilde devre dışı bırakılamıyor. Tailscale'in barındırılan hizmetinde bu ayar kural bazında kapatılabilirken headscale'de böyle bir seçenek bulunmuyor. Bu nedenle rapor, headscale kullanan ağlardaki her SSH izninin hedef sunucuda root erişimi vermek anlamına geldiği gibi değerlendirilmesi gerektiğini belirtiyor.

Tailnet Lock özelliği saldırıyı tamamen engelliyor mu?​

Hayır, tamamen engellemiyor. Tailnet Lock'ın etkin olduğu ağlarda laboratuvar testinde son adım, yani saldırgana ait makinenin ağa güvenilir sunucu olarak katılması tamamlanamadı. Ancak bu ağlarda da gerekli gizli bilgiler iletim sırasında ele geçirilebildi; Tailnet Lock yalnızca son adımı durdurdu, saldırı zincirinin tamamını değil.