Tailworm : 11 failles non corrigées dans Tailscale, dont un accès root via Tailscale SSH

Avec Tailworm, la chercheuse Erica Windisch a divulgué 11 failles de sécurité dans Tailscale et Headscale, sans attendre qu'elles soient corrigées. Voici ce qu'il faut retenir.

Cet ensemble de failles de sécurité surnommé TailWorm a été mis en ligne sur tailworm.com, par Erica Windisch, aujourd'hui chez Cyberdione Labs. Son audit, mené du 22 au 24 octobre 2026, porte sur le client Tailscale v1.104.2 et sur Headscale v0.29.5, le serveur de contrôle en version auto-hébergée. À la clé, la découverte de 11 vulnérabilités, dont 6 associées à une sévérité élevée.

Pour rappel, Tailscale est un VPN Mesh basé sur WireGuard. Chaque appareil connecté à ce réseau privé, appelé tailnet, communique directement avec les autres, sans serveur VPN central ni port à ouvrir sur le pare-feu. Un serveur de contrôle, hébergé par Tailscale ou remplacé par Headscale en self-hosted, distribue les clés, les routes et les règles d’accès (ACL), mais le trafic ne transite pas par lui.

La fonction Tailscale SSH, évoquée dans la suite de cet article, sert à se connecter en SSH à ses serveurs sans gérer de clés SSH ni de mots de passe. C’est le réseau Tailscale qui décide qui a le droit d’accéder ou non à une ressource. L’authentification ne repose plus sur des clés SSH, mais sur l’identité de l’appareil et sur une règle de la politique d’accès. Si vous découvrez la solution, j’ai publié un guide complet sur Tailscale, le VPN Mesh basé sur WireGuard.

Tailscale SSH : d'une machine compromise au reste du réseau

Avec OpenSSH, le processus qui gère une session abandonne les privilèges root dès l'authentification, pour ne garder que ceux de l'utilisateur connecté. Tailscale SSH, lui, est intégré à tailscaled, qui tourne en root. D'après la chercheuse, les redirections de sockets Unix (ssh -L et ssh -R) sont donc effectuées avec les droits root. Un compte ordinaire peut ainsi faire dialoguer le démon avec un socket réservé à root, comme celui de Docker, et obtenir les droits root sur la machine.

La liste de chemins autorisés (répertoire personnel, /tmp, /run/user) est contournée par une race condition (TOCTOU) : le chemin est vérifié, puis résolu de nouveau au moment de l'opération. Pour exploiter cette faille de sécurité, l'attaquant lance dans sa session SSH une boucle qui renomme le chemin visé environ 170 000 fois par seconde. Il finit ainsi par le modifier entre la vérification et l'opération, qui s'applique alors à une cible réservée à root.

Ce n'est pas tout. En détournant le socket de contrôle de tailscaled, la chercheuse a capturé une clé d'enrôlement et fait rejoindre le tailnet à une machine pirate, Tailnet Lock étant désactivé par défaut. Grâce à cette modification et à la propagation automatique, ce changement a atteint chaque appareil autorisé par la politique SSH, en moins d'une seconde. D'où le nom Tailworm.

Toutefois, l'attaquant doit déjà contrôler un appareil approuvé du tailnet pour exploiter cette faille de sécurité et ainsi envisager de prendre la main sur tous les autres appareils. Les autres découvertes touchent :

• App connectors (conn25) : cette fonction expérimentale laisse un appareil autorisé joindre n'importe quelle destination, y compris le service de métadonnées cloud.

• Headscale : une instance exposée sur Internet peut subir une attaque par déni de service qui bloque l'enrôlement de nouveaux appareils.

• Tailscale Serve : une redirection TCP configurée vers le socket de tailscaled expose l'API d'administration locale du nœud.

Une divulgation non coordonnée...

La chercheuse, sans lien avec Tailscale, a décidé de divulguer ces failles de sécurité en tant que failles zero-day : les patchs ne sont pas disponibles. "L'infrastructure est vulnérable aujourd'hui", indique-t-elle, en misant sur une prise de conscience rapide pour accélérer la mise en place de correctifs. Pour autant, Elle affirme que les failles ont été signalées à l'éditeur, mais sans coordination entre la divulgation au grand public et la publication des patchs.

En date du 26 octobre 2026, Tailscale n'a toujours pas publié de bulletin de sécurité à ce sujet, aucune CVE n'a été attribuée et la dernière version stable reste la 1.104.2.

Des correctifs sont tout de même en préparation, à en croire l'activité récente sur le dépôt GitHub de Tailscale. Le premier, intégré au code le 25 octobre, corrige une faille de Tailscale Serve liée aux autorisations transmises aux applications publiées. Le second, toujours en cours de relecture, s’attaque aux redirections SSH : elles ne seraient plus effectuées avec les droits root, mais avec ceux de l’utilisateur connecté, comme le fait OpenSSH.

Toutefois, aucune version de Tailscale ne les intègre encore.

Comment limiter les risques dès maintenant

En attendant un correctif de sécurité, voici quelques pistes pour limiter les risques :

• Règles SSH par paire : une source précise vers une destination précise, jamais à l'échelle d'une identité ou d'un tag. C'est ce qui permet de stopper la propagation.

• Redirections refusées : sur le service SaaS, désactivez la redirection dans chaque règle SSH. Sur Headscale, la politique ne le permet pas, mais tailscaled lit la variable TS_SSH_DISABLE_FORWARDING=true : ajoutez-la au fichier /etc/default/tailscaled et redémarrez le service pour refuser toute redirection sur le nœud.

• Tailscale SSH coupé : si vous n'en avez pas l'usage, la commande sudo tailscale set --ssh=false désactive cette fonctionnalité.

• Identités limitées dans le temps : activez l'expiration des clés de nœud sur les serveurs.

Si vous avez suivi mon tutoriel pour déployer Headscale et auto-héberger votre serveur de contrôle Tailscale, limitez aussi son exposition.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.