Tailscale : une session autorisée, et root sur les serveurs
Onze failles dans le client Tailscale, dont plusieurs dans son serveur SSH, qui tourne en root. Une session pourtant autorisée peut prendre la main sur une machine, puis sur celles que la politique ouvre. Le correctif est sorti en version 1.104.4.
Actualité du 29 octobre 2026 · 1 min 20 · 5 sources · 12 affirmations sourcées
En 30 secondes
L'essentiel
- Une session SSH permise par la politique peut faire plus que ce que l'utilisateur connecté a le droit de faire.
- Le serveur SSH de Tailscale tourne dans un processus privilégié : une redirection de socket y agit en root.
- Les correctifs sont livrés en 1.104.4, et les politiques SSH appareil par appareil restent la vraie limite.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliRapport Tailworm : onze constats sur Tailscale 1.104.2 et headscale 0.29.5, tous reproduits en laboratoire sur logiciel non modifié
- ÉtabliLe serveur SSH intégré tourne dans tailscaled, processus privilégié, et exécute les opérations de forwarding avec les droits root
- ÉtabliUne session autorisée avec forwarding peut atteindre des sockets réservés à root et obtenir uid 0, sans sudo ni appartenance au groupe docker
- ÉtabliL'exploitation suppose un pied dans un appareil autorisé du maillage et une règle SSH autorisant la session et le forwarding
- RapportéLes chercheurs mesurent une propagation automatique vers les machines permises par la politique, en moins d'une seconde par saut
- ÉtabliLa prise de contrôle permet de copier les clés d'enrôlement et d'ajouter un appareil au maillage
- ÉtabliQuatre bulletins TS-2026-014 à TS-2026-017 et correctifs livrés dans Tailscale 1.104.4
- ÉtabliTailscale conteste le mot ver : mouvement latéral limité aux connexions permises par la politique du tailnet
- InconnuAucune des sources consultées (éditeur, chercheurs, presse) ne mentionne une exploitation dans la nature à ce jour
- InconnuLe nombre de réseaux réellement exposés n'est pas connu, le périmètre restait en cours de vérification
- ÉtabliRecommandations : mise à jour, politiques SSH restreintes aux appareils nécessaires, forwarding désactivé, mode check sur les systèmes sensibles
- ÉtabliSix des onze constats sont classés haute sévérité par les chercheurs
Transcription
Une session SSH autorisée, sur un serveur du réseau interne, et voilà les droits root. Fin octobre, une chercheuse a publié onze failles qui mènent jusque-là.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Tout part d'un appareil déjà autorisé sur le maillage. Une session SSH permise par la politique redirige un socket Unix, et comme le serveur SSH tourne en root, la redirection agit en root. Selon les chercheurs, la machine suivante tombe en moins d'une seconde.
Mais pourquoi une session autorisée donne-t-elle les droits root ?
Ce qui est établi : onze failles, des clés d'enrôlement copiables, et un root obtenu sans mot de passe. Ce qui reste ouvert : une exploitation réelle, le nombre de réseaux exposés, et le mot de ver, que Tailscale conteste.
Trois réflexes. Mettre à jour le client en 1.104.4. Couper le forwarding SSH s'il ne sert pas. Et accorder l'accès appareil par appareil, jamais par grands groupes.
Un accès autorisé n'est pas un accès limité. Ces onze failles l'ont rendu très concret.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : vous saviez que votre VPN pouvait donner les droits root ?
La suite
Continuer
1 min 38Node2Shell : huit octets de trop dans le décodeur
1 min 38Un fichier dans Téléchargements a suffi
1 min 40Une IA a trouvé la sortie de sa cage
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du jeudi 29 octobre 2026, dont celle-ci, avec leurs sources.