Tailworm: Satu Perangkat Diretas, Akar pada Perangkat Berikutnya 11 Temuan Tailscale yang Belum Diperbaiki, dan Apa yang Harus Diamankan Malam Ini Jaringan pribadi Anda hanya bersifat pribadi hingga satu perangkat di dalamnya diretas. Laporan baru menyatakan bahwa Tailscale SSH dapat mengubah satu perangkat tersebut menjadi akar (root) pada perangkat lainnya. Tidak ada patch. Tidak ada CVE. Namun demikian. ---------------------- Pada 25 Oktober, peneliti Erica Windisch (Cyberdione Labs) menerbitkan "Tailworm": 11 temuan dalam 5 kelompok, diuji pada Tailscale 1.104.2 dan headscale 0.29.5 antara 22 hingga 24 Oktober. Masalah intinya: Tailscale SSH berjalan di dalam tailscaled, dan tailscaled berjalan sebagai root. Ketika sesi meneruskan soket Unix (ssh -L / -R), pemeriksaan jalur dan operasi file dilakukan dengan hak root. Dalam laboratoriumnya, sesi biasa melewati soket Docker dan membaca /etc/shadow. Rantai lain menangkap kunci pendaftaran dan bergabung dengan node jahat yang tampak seperti server tepercaya. Penyebaran memakan waktu kurang dari satu detik per lompatan. Tanpa kata sandi, tanpa kunci yang dicuri. 🔹Apa yang Sudah Dikonfirmasi, Apa yang Tidak🔹 ▫️ Semua hasil adalah replikasi laboratorium, bukan pelanggaran di dunia nyata ▫️ Pernyataan terbaru Tailscale masih TS-2026-013. Tidak ada informasi tentang Tailworm, tidak ada versi yang diperbaiki ▫️ VP Engineering Mike Shaver mengatakan mereka sedang meninjau laporan ini dan tidak merekomendasikan semua orang menonaktifkan Tailscale SSH. Sarannya: tinjau kebijakan SSH dan penerusan, aktifkan pembaruan otomatis ▫️ Peneliti mengatakan laporan ini "telah dilaporkan tetapi tidak dikoordinasikan". Kritikus di HN menyebut laporan ini tidak bisa dibaca ▫️ Penyerang tetap memerlukan titik masuk pertama: aplikasi web rentan, paket yang diracuni, implant phishing, atau kredensial yang dicuri 🔹Mengapa Ini Penting di Luar TI🔹 Bukan pertama kalinya tahun ini. Pernyataan TS-2026-006 dan TS-2026-009 menggambarkan jalur SSH menuju root, salah satunya melalui username "-i". Keduanya telah diperbaiki di versi 1.98.9. Pada Juli, sebuah agen AI menggunakan satu kunci Tailscale yang dapat digunakan ulang untuk mendaftarkan 181 node ke dalam jaringan Hugging Face. Tidak diperlukan bug sama sekali. Banyak pengembang menjalankan bot, node RPC, validator, dan agen AI di VPS yang hanya dapat diakses melalui Tailscale. Mesh adalah perimeter. Satu perangkat yang diretas menjadi masalah semua perangkat. 🔹Tindakan Nyata untuk Pengembang🔹 📝 Periksa apakah Anda bahkan menggunakannya. Buka file kebijakan Anda dan baca bagian ssh. Tidak diperlukan di node? tailscale set --ssh=false. Pastikan Anda memiliki cara masuk lain terlebih dahulu, atau Anda akan terkunci keluar. 📝 OpenSSH biasa di atas tailnet masih berfungsi, dan akan turun ke hak pengguna sebelum sesi dimulai. 📝 Tulis ulang aturan SSH per pasangan: satu sumber, satu tujuan. Jangan gunakan aturan berbasis tag atau semua anggota. Pemberian izin per-pasangan adalah satu-satunya kontrol yang menghentikan penyebaran di laboratorium. 📝 Tolak penerusan dalam setiap aturan SSH kecuali Anda membutuhkannya. Pada headscale 0.29.5 Anda tidak bisa melakukannya, jadi anggap setiap pemberian izin SSH sebagai root. 📝 Hapus penerusan serve yang menunjuk ke soket Unix, dan izin konektor aplikasi yang tidak digunakan. 📝 Aktifkan kedaluwarsa kunci node dan Tailnet Lock. Ganti kunci otorisasi yang dapat digunakan ulang dengan kunci sekali pakai atau sementara. 📝 Jika sebuah perangkat dikompromikan, hapus dari control plane. Mengganti gambar sistem tidak mencabut kunci yang sudah disalin. 📝 Aktifkan pembaruan otomatis dan pantau tailscale.com/security-bulletins. Tesis saya diperkuat jika pernyataan resmi mengonfirmasi temuan penerusan dan merilis perbaikan penurunan hak. Tesis saya melemah jika sebagian besar ini dibatasi hanya pada headscale atau konfigurasi tidak biasa. Zero trust adalah file kebijakan. Bukan sifat dari perangkat lunaknya. Apakah Anda menjalankan Tailscale SSH pada apa pun yang menyimpan kunci?
