টেইলওর্ম: একটি হ্যাক করা বাক্স, পরবর্তী বাক্সে রুট অধিকার 11টি অপ্রতিরোধ্য টেইলস্কেল সমস্যা, এবং আজ রাতে কী লক করবেন আপনার ব্যক্তিগত নেটওয়ার্ক শুধুমাত্র ততক্ষণই ব্যক্তিগত যতক্ষণ এর মধ্যে একটি ডিভাইস নিয়ন্ত্রণে আসেনি। একটি নতুন রিপোর্ট বলছে, Tailscale SSH একটি ডিভাইসকে অন্যান্যগুলোতে রুট অধিকারে পরিণত করতে পারে। কোনো প্যাচ নেই। কোনো CVE নেই। এখনও। ---------------------- অক্টোবর 25-এ, গবেষক এরিকা উইনডিশ (সাইবারডিওন ল্যাবস) "টেইলওর্ম" প্রকাশ করেন: 1.104.2 সংস্করণের Tailscale এবং 0.29.5 সংস্করণের headscale-এর মধ্যে 22-24 অক্টোবরের মধ্যে 5টি গ্রুপে 11টি খুঁজেপাওয়া। মূল সমস্যা: Tailscale SSH tailscaled-এর ভিতরে চলে, আর tailscaled root হিসেবে চলে। যখন একটি সেশন Unix socket-এর (ssh -L / -R) ফরওয়ার্ডিং করে, তখন পথের চেকিং এবং ফাইল অপারেশনগুলো root-এর অধিকারেই ঘটে। তার ল্যাবে, একটি সাধারণ সেশন Docker socket-এর মধ্যেদিয়ে গিয়ে /etc/shadow-এর ডাটা পড়েছিল। আরেকটি চেইন enrollment key-টি ধরেছিল এবং একটি অবৈধ নোড-এর সাথেযুক্ত হয়েছিল, যা একটি বিশ্বস্ত সার্ভারের মতোই দেখাচ্ছিল। প্রতিটি "হপ"-এর জন্য spread-এর সময়লাগল 1-এরও কম। কোনো পাসওয়ার্ড, কোনো চুরি-করা key-এরওপ্রয়োজন হয়নি। 🔹যা 证实,যা 证实হয়নি🔹 ▫️প্রতিটি ফলাফলই lab-এ reprodution, wild-এ breach-এর নয় ▫️Tailscale-এর latest bulletin-এও TS-2026-013-ই, Tailworm-এর कोई mention नहीं, कोई fixed version नहीं ▫️VP of Engineering Mike Shaver-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013-এর 2026-013 ▫️গবেষক bলছেন, "প্রতিবেদন" doable but not coordinated"। HN -তে criticism -দল bলছে, "প্রতিবেদন" unreadable ▫️হামলাকারীকেও still need a first foothold: vulnerable web app, poisoned package, phishing implant, stolen creds 🔹IT -এর beyond -তে why it matters🔹 বছরটি bলা -পথ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ -আগ জুলাইয়ে, AI agent one stolen reusable Tailscale key use kore Hugging Face's network-e enroll korechilo 181 nodes. kono bug laglo na. অনেক builder bot, RPC node, validator and AI agent run kore VPS-e, jei VPS-e shudhu Tailscale-dia access kora jai. Mesh-ei perimeter. Ekta owned box hoye jay sob box er problem. 🔹Actionable NFA for Builders🔹 📝 Check kore dekhen apni ki actually use koren. Apnar policy file open kore ssh section read koren. ekta node-e ki ssh lagbe na? tailscale set --ssh=false. ar ekta alternative access thakben, na hole apni lock out hoye jaben. 📝 Plain OpenSSH tailnet-dia abar kaj kore, ar session start hobar age user's privilege-e drop hoye jai. 📝 SSH rule rewrite koren pair-wise: ekta source, ekta destination. tag-wide ba all-members rule na. pair-wise grant-ei lab-e spread stop korechilo. 📝 SSH rule er moddhe forwarding deny koren jodi apnar shomoy na laghe. headscale 0.29.5-e forward disable kora jai na, tai har SSH grant ke root hishebe treat koren. 📝 Unix socket-e point kore jokhon serve forward thake, remove koren. unused app connector permission o remove koren. 📝 node-key expiry and Tailnet Lock turn on koren. reusable auth key gulo swap koren one-off ba ephemeral one-dia. 📝 jodi ekta box compromise hoye jai, control plane-e delete koren. reimaging korle already copied key gulo revoke hoi na. 📝 auto-updates turn on koren ar tailscale.com/security-bulletins monitor koren. Ami thesis strengthen korbo jodi official bulletin forwarding findings confirm kore privilege-drop fix release kore. Ami thesis weaken korbo jodi most of this scope headscale ba unusual config-e limit kore. Zero trust ekta policy file. Software er property na. Apni ki Tailscale SSH run koren jei jinish er moddhe key thake?