Tailworm : 11 failles visent Tailscale et headscale, Tailscale SSH est corrigé

La chercheuse Erica Windisch, de Cyberdione Labs, a publié le 25 octobre 2026 un rapport baptisé Tailworm. Il recense 11 failles dans Tailscale et dans headscale. Tailscale est un VPN (réseau privé virtuel) bâti sur WireGuard, un protocole de tunnel chiffré : il relie des machines distantes comme si elles partageaient le même réseau local. Headscale est une version libre de son serveur de contrôle, la pièce centrale qui orchestre ce réseau, à héberger soi-même. Tailscale a mis en ligne sa version 1.104.4 le 28 octobre 2026 pour corriger l’essentiel de ces failles : chaque appareil doit la recevoir.

Tailscale SSH : un transfert à risque

L’une des failles touche Tailscale SSH, le serveur SSH (outil d’accès sécurisé à distance) intégré au logiciel. Les sockets Unix sont des canaux de communication locaux entre programmes. D’après le bulletin de sécurité de l’éditeur, leur transfert à travers SSH pouvait donner à d’autres machines du réseau l’accès à des sockets réservés au compte root, qui détient tous les droits. L'analyse de HOL en donne la cause : la vérification portait sur le nom des chemins, mais les opérations s’exécutaient avec les droits de tailscaled, le programme résident de Tailscale, lancé en root.

L’attaque suppose déjà un pied dans le réseau : un appareil approuvé et une règle SSH, précise BleepingComputer. Seuls les utilisateurs qui activent Tailscale SSH et autorisent le transfert dans leur politique d’accès sont exposés à cette faille. Sur le service hébergé par Tailscale, le transfert s’accorde règle par règle ; sur headscale, il est automatique.

Tailscale a jugé ces failles sérieuses, sans pour autant recommander à tous de désactiver Tailscale SSH. En attendant le correctif, l’éditeur proposait un palliatif : définir la variable TS_SSH_DISABLE_FORWARDING=1 dans l’environnement de tailscaled, puis redémarrer ce service. Ce réglage coupe le transfert sans supprimer Tailscale SSH. Il garde son intérêt pour les appareils qui ne peuvent pas encore être mis à jour.

Ce sont de graves problèmes de sécurité, et nous les traitons en conséquence.

La version 1.104.4 règle le problème : le transfert s’exécute désormais avec les droits de l’utilisateur de la session, et non plus avec ceux de root. Certains usages échappent par ailleurs aux constats sur le transfert SSH. C’est le cas des serveurs joints à travers le réseau Tailscale par OpenSSH, le serveur SSH classique. Le simple trafic WireGuard entre machines n’est pas concerné non plus.

Headscale, sans correctif annoncé

Headscale est publié sous la licence libre BSD à trois clauses. Le rapport vise sa version 0.29.5 et affirme que le transfert SSH ne peut pas y être désactivé. Ses auteurs recommandent donc de traiter chaque règle SSH d’un réseau headscale comme l’équivalent d’un accès root. Autrement dit, autoriser quelqu’un à ouvrir une session SSH sur une machine revient à lui en confier l’administration complète.

Le correctif de Tailscale ne couvre pas tout. Il porte sur le logiciel installé sur les appareils et ne règle pas les constats propres au serveur de contrôle headscale. La version 0.29.6 de headscale, sortie le 24 octobre 2026, restait la plus récente au 28 octobre. Ses notes de version ne disent rien de ces failles.

Un rapport à lire avec précaution

La publication elle-même appelle des réserves. Le rapport est arrivé sur Hacker News, un forum d’actualité technologique, le 25 octobre 2026, sans divulgation coordonnée, la procédure qui avertit l’éditeur avant toute diffusion. Aucun correctif n’existait alors. Les auteurs affirment avoir reproduit tous leurs constats en laboratoire, sur des logiciels non modifiés et déjà publiés. Ils se disent sans lien avec Tailscale.

Ils disent aussi avoir obtenu en laboratoire une propagation automatisée. Le point de départ : une règle SSH accordée par la politique d’accès, combinée à certaines failles. L’attaque gagne alors tous les appareils que cette politique autorise. D’où le nom du rapport : en anglais, worm désigne un ver, un programme qui se propage seul d’une machine à l’autre. Ni Tailscale ni le rapport ne mentionnent d’exploitation réelle. Au moment où HOL rédigeait son analyse, aucun identifiant CVE (numéro public attribué aux failles) n’avait été publié.

Pour une TPE, une association ou un particulier qui utilise Tailscale, y compris avec headscale, le premier geste consiste à passer chaque appareil en version 1.104.4 ou plus récente. Les dépôts de paquets et les magasins d’applications peuvent tarder à proposer cette version : mieux vaut vérifier le numéro installé. Les règles SSH doivent ensuite se limiter aux personnes et aux appareils qui en ont besoin. Ceux qui hébergent headscale, dont nous avons présenté l’interface web Headplane, ont intérêt à n’en garder que le strict minimum. À notre avis, la prudence s’impose tant que les notes de version de headscale ne mentionnent pas ces constats.