知名虚拟组网软件Tailscale存在SSH权限缺陷 已获准接入设备可以横向取得root
内容提要
Tailscale SSH 存在权限缺陷：已获准设备可通过 Unix 套接字转发获取目标设备 root 权限并横向扩散。官方已确认并正在修复，相关 PR 已合并或审查中，尚未发布公告。建议收紧 SSH 访问规则、关闭不必要的转发（TS_SSH_DISABLE_FORWARDING=1），并在敏感系统启用 SSH check mode。
延伸解读
风险起点：已授权设备成为跳板
该缺陷的关键在于攻击者无需直接攻破目标设备，而是先控制一台已获准通过 Tailscale SSH 连接目标服务器的设备。利用 Unix 套接字转发路径，攻击者可触达目标设备上的最高权限服务，进而取得 root 权限。这意味着访问策略中“允许连接”的设备一旦失陷，就可能成为横向移动的起点，风险与授权范围直接相关。
修复进展：代码已动，公告未出
Tailscale 已确认收到报告并正在修复 SSH 授权后的 Unix 权限和转发行为，同时评估受影响配置范围。截至 10 月 26 日，安全公告页尚未列出说明，但 GitHub 上已有相关变更：PR #21937 已合并，为每条连接添加 SSH Monitor 通信基础；PR #21942 仍在审查，计划让转发由监控进程处理。正式公告和补丁需待影响范围确认后发布。
临时缓解：收紧规则并关闭转发
在补丁发布前，用户可先缩小 SSH 访问规则的授权范围，仅允许确有需要的用户、设备和目标主机。若不需要 SSH 转发，可在 tailscaled 服务环境中设置 TS_SSH_DISABLE_FORWARDING=1，关闭转发但保留 Tailscale SSH。对敏感系统，还可启用 SSH check mode，在连接前增加重新认证步骤，以降低已授权设备被利用的风险。
Q&A
Tailscale SSH 最近被曝出什么安全漏洞？
Tailscale SSH 存在 Unix 套接字转发和权限缺陷，已获准接入的设备可通过转发路径获取目标设备的 root 权限，并可能横向扩散到其他设备。
这个漏洞是如何被利用的？攻击路径是怎样的？
攻击者先控制一台已经获准连接目标服务器的设备，然后利用 Tailscale SSH 的 Unix 套接字转发功能，触达最高权限服务，进而取得目标设备的 root 权限。在实验环境中，已获准的节点还可以沿着策略允许的连接扩散到其他设备。
Tailscale 官方对此漏洞的修复进展如何？
Tailscale 已确认收到安全报告，正在修复 SSH 授权后的 Unix 权限和转发行为，并评估受影响配置范围。相关 PR 已合并或审查中（如 PR #21937 已合并，PR #21942 仍在审查），但截至 10 月 26 日安全公告页尚未列出说明，官方将在确认范围后发布公告和补丁。
在官方补丁发布前，用户应该采取哪些临时缓解措施？
用户应检查 SSH 访问规则，将授权范围缩小到确实有需要的用户、设备和目标主机；如果不需要 SSH 转发，可在 tailscaled 服务环境中设置 TS_SSH_DISABLE_FORWARDING=1 来关闭转发而保留 Tailscale SSH；对于敏感系统，可以启用 SSH check mode 增加连接前的重新认证步骤。
Tailscale SSH 和传统的 OpenSSH 服务有什么不同？
Tailscale SSH 是内置的 SSH 服务，由 tailnet 访问策略决定哪些设备可以连接目标主机，授权依据主要是设备身份与访问规则；而传统 OpenSSH 服务是通过 Tailscale 网络连接的外部服务。
这个漏洞会影响哪些用户？风险与什么因素有关？
该漏洞影响使用 Tailscale SSH 且已获准建立 SSH 会话的设备。实际风险与访问规则的具体配置有关，因为问题通常发生在设备已经获准建立 SSH 会话后。
