تايلورم: صندوق واحد مخترق، جذر على الصندوق التالي 11 اكتشافًا غير مُصلَحة في Tailscale، وما يجب تأمينه الليلة شبكتك الخاصة ليست خاصة إلا حتى يتم اختراق جهاز واحد فيها. تقول تقرير جديد إن Tailscale SSH يمكنه تحويل هذا الجهاز الواحد إلى جذر على الأجهزة الأخرى. لا تصحيح. لا CVE. لكن. ---------------------- في 25 أكتوبر، نشرت الباحثة إيريكا وينديش (مختبرات Cyberdione) تقريرًا بعنوان "تايلورم": 11 اكتشافًا موزعة على 5 مجموعات، تم اختبارها على Tailscale 1.104.2 وheadscale 0.29.5 بين 22 و24 أكتوبر. المشكلة الأساسية: يعمل Tailscale SSH داخل tailscaled، ويعمل tailscaled كجذر. عندما تقوم جلسة بإعادة توجيه مدخلات Unix (ssh -L / -R)، تتم عمليات التحقق من المسارات وعمليات الملفات بامتيازات الجذر. في مختبرها، عبرت جلسة عادية عبر مدخل Docker وقرأت /etc/shadow. وسلسلة أخرى استولت على مفتاح التسجيل وانضمت إلى عقدة خبيثة تبدو كخادم موثوق. استغرق الانتشار أقل من ثانية واحدة لكل قفزة. لا كلمات مرور، ولا مفاتيح مسروقة. 🔹ما تم التأكيد عليه، وما لم يُؤكد🔹 ▫️ كل النتائج هي إعادة إنتاج في المختبر، وليست اختراقًا في البرية ▫️ أحدث إعلان من Tailscale لا يزال TS-2026-013. لا شيء عن Tailworm، ولا إصدار مُصلَح ▫️ نائب رئيس الهندسة مايك شافر يقول إنهم يراجعون التقرير ولا ينصحون الجميع بتعطيل Tailscale SSH. نصيحته: راجع سياسات SSH والتوجيه، وفعّل التحديثات التلقائية ▫️ الباحثة تقول إنه "تم الإبلاغ عنه لكن دون تنسيق". يصفه النقاد على HN بأنه غير قابل للقراءة ▫️ المهاجم لا يزال بحاجة إلى نقطة دخول أولى: تطبيق ويب ضعيف، حزمة ملوثة، برنامج خبيث عبر التصيد، أو بيانات اعتماد مسروقة 🔹لماذا يهم هذا ما وراء قطاع تكنولوجيا المعلومات🔹 ليس المرة الأولى هذا العام. وصفت إعلانات TS-2026-006 وTS-2026-009 طرق SSH للوصول إلى الجذر، أحدها عبر اسم مستخدم "-i". كلاهما تم إصلاحه في الإصدار 1.98.9. في يوليو، استخدم وكيل ذكاء اصطناعي مفتاح Tailscale قابل لإعادة الاستخدام لتسجيل 181 عقدة في شبكة Hugging Face. لم يكن هناك ثغرة مطلوبة. الكثير من المطورين يشغلون بوتات، وعقد RPC، ومدققين، ووكلاء ذكاء اصطناعي على خادم VPS يمكن الوصول إليه فقط عبر Tailscale. الشبكة هي الحدود. جهاز واحد مخترق يصبح مشكلة لكل جهاز. 🔹إجراءات عملية للمطورين🔹 📝 تحقق مما إذا كنت تستخدمه أصلًا. افتح ملف سياساتك واقرأ قسم SSH. غير ضروري على عقدة؟ استخدم tailscale set --ssh=false. احتفظ بطريقة دخول أخرى أولًا، وإلا ستُغلق نفسك خارج النظام. 📝 OpenSSH العادي عبر tailnet لا يزال يعمل، ويُسقط الامتيازات إلى مستخدم العقدة قبل بدء الجلسة. 📝 أعد كتابة قواعد SSH لكل زوج: مصدر واحد، وجهة واحدة. لا تستخدم قواعد شاملة للوسوم أو جميع الأعضاء. كانت منحات كل زوج هي الوسيلة الوحيدة التي منعت الانتشار في المختبر. 📝 ارفض التوجيه في كل قاعدة SSH ما لم تكن بحاجة إليه. على headscale 0.29.5 لا يمكنك ذلك، لذا اعتبر كل منحة SSH كامتياز جذر. 📝 احذف التوجيهات التي تشير إلى مدخلات Unix، وأذونات موصل التطبيقات غير المستخدمة. ▫️ فعّل انتهاء صلاحية مفتاح العقدة وTailnet Lock. استبدل المفاتيح الموثوقة القابلة لإعادة الاستخدام بمفاتيح فردية أو مؤقتة. 📝 إذا تم اختراق جهاز، احذفه من مستوى التحكم. إعادة تهيئة الجهاز لا تلغي المفاتيح التي تم نسخها بالفعل. 📝 فعّل التحديثات التلقائية وراقب https://tailscale.com/security-bulletins. أطروحتي تقوى إذا أكد الإعلان الرسمي اكتشافات التوجيه وأصدر تصحيحًا لخفض الامتيازات. وتخضع للضعف إذا ركّز معظم هذه النقاط على headscale أو التكوينات غير العادية. الثقة الصفرية هي ملف سياسات. ليست خاصية من خصائص البرنامج. هل تشغل Tailscale SSH على أي شيء يحتوي على مفاتيح؟