欢迎参加TailscaleUp点击此处可获取门票加入在旧金山举办的TailscaleUp活动。还可访问博客、文档、下载、联系销售等相关页面。平台认识Tailscale可了解Tailscale工作原理、面向企业的WireGuard®、功能特性、集成方案等还有文档、下载以及对比Tailscale等相关页面。产品包括企业VPN、PAM、CI/CD连接、AI安全访问、工作负载连接、边缘与IoT、家庭实验室等产品。有一张aperture dashboard的图片。Aperture by Tailscale为AI代理和用户提供统一的AI治理方案可了解更多相关信息。加入TailscaleUpTailscale为工程、安全和IT领导者举办的会议可了解更多。解决方案解决方案涵盖云连接、基础设施访问、零信任网络、远程访问、Kubernetes网络、安全SaaS、安全AI代理连接等。客户案例客户故事有Instacart、Cribl、Mercury、Hugging Face等客户故事还可查看全部客户故事。社区加入社区可了解社区介绍、Tailscale内部人员计划、社区项目、将Tailscale引入工作等内容。活动包括活动列表、网络研讨会、TailscaleUp等活动。了解更多可查看文档、博客、更新日志、媒体资讯等。加入TailscaleUpTailscale为工程、安全和IT领导者举办的会议可了解更多。合作伙伴合作机会可成为合作伙伴参与社区项目、集成方案联系合作伙伴团队等。还有定价、登录、免费开始使用等相关内容以及博客、文档、下载、联系销售等页面。平台认识Tailscale可了解Tailscale工作原理、面向企业的WireGuard®、功能特性、集成方案等还有文档、下载以及对比Tailscale等相关页面。产品包括企业VPN、PAM、CI/CD连接、AI安全访问、工作负载连接、边缘与IoT、家庭实验室等产品。解决方案涵盖云连接、基础设施访问、零信任网络、远程访问、Kubernetes网络、安全SaaS、安全AI代理连接等。客户案例有Instacart、Cribl、Mercury、Hugging Face等客户故事还可查看全部客户故事。社区可了解社区介绍、Tailscale内部人员计划、社区项目、将Tailscale引入工作等内容。活动包括活动列表、网络研讨会、TailscaleUp等活动。了解更多可查看文档、博客、更新日志、媒体资讯等。合作伙伴可成为合作伙伴参与社区项目、集成方案联系合作伙伴团队等。还有定价、登录、免费开始使用等相关内容。安全公告本页面发布影响Tailscale客户端和服务的安全通知可阅读事件披露和通知政策。若直接受到Tailscale安全问题影响且有联系方式会取得联系。还可通过RSS订阅报告漏洞。2026年7月13日TS - 2026 - 008描述向运行Tailscale Serve或Funnel的节点发送单个格式错误的HTTP请求可能导致CPU核心被无限占用造成拒绝服务。事件详情Tailscale Serve和Tailscale Funnel通过将传入的HTTP请求路径与配置的挂载点进行匹配将请求代理到本地后端。对于不以 / 开头的请求路径遍历过程无法到达 /无法匹配到挂载点导致循环无限执行。现在Tailscale会终止非绝对路径的路径遍历返回无处理程序并关闭请求。此漏洞已在Tailscale 1.98.9及更高版本中修复。影响范围攻击者可发送精心构造的HTTP请求永久占用目标节点上的一个CPU核心。对于Tailscale Serve请求可来自尾网中任何有权访问该节点的对等方对于Tailscale Funnel请求可来自互联网上的任何未认证主机。受影响对象运行Tailscale Serve或Tailscale Funnel且版本低于1.98.9的节点。应对措施若运行Tailscale Serve或Tailscale Funnel应将Tailscale升级到1.98.9或更高版本。致谢感谢Anthropic和Ada Logics报告此问题。TS - 2026 - 009描述Tailscale SSH在命令行参数处理方面存在安全漏洞允许用户违反ACL规则以 root 用户身份访问。事件详情此前Tailscale SSH允许用户名以 - 开头。在Linux平台上这些用户名会作为参数传递给 getent(1) 以获取相应的 passwd 条目此时它们会被解释为标志从而允许攻击者控制行为。现在Tailscale SSH会拒绝以连字符开头的用户名。此漏洞已在Tailscale 1.98.9及更高版本中修复。影响范围具有SSH访问权限的用户可以通过以 -i 作为用户名连接到Linux节点从而违反ACL策略以 root 用户身份获取会话。受影响对象依赖Tailscale ACL中 autogroup:nonroot 用户限制的Linux主机上的Tailscale SSH用户。应对措施若使用Tailscale SSH应将Tailscale升级到1.98.9或更高版本。致谢感谢Anthropic和Ada Logics报告此问题。2026年7月10日TS - 2026 - 007描述服务的入站数据包过滤不足允许访问回环绑定的监听器。事件详情Tailscale服务是虚拟尾网目的地可以由尾网上的一个或多个节点托管。在Tailscale 1.98.9之前的版本中宣传服务的节点可以接受发往服务IP上未宣传端口的入站流量。现在当服务端口没有相应的处理程序时Tailscale会过滤并拒绝这些数据包并返回适当的TCP RST响应。此漏洞已在Tailscale 1.98.9及更高版本中修复。影响范围具有Tailscale服务ACL权限的用户可以访问未宣传端口上的服务并连接到托管服务的节点上监听回环的进程。受影响对象依赖在托管服务的节点上进行仅回环网络访问限制的Tailscale服务用户。应对措施若在与绑定到回环的进程相同的节点上托管Tailscale服务应将Tailscale升级到1.98.9或更高版本。2026年6月11日TS - 2026 - 006描述Tailscale SSH允许用户通过数字UID进行访问从而绕过了ACL中对 root 用户的限制。事件详情此前Tailscale SSH允许用户通过用户名或UID值进行访问但ACL强制执行中对 root 用户的限制仅考虑了用户名。现在Tailscale禁止通过SSH使用UID或仅包含数字的用户名。此漏洞已在Tailscale 1.98.9及更高版本中修复。影响范围具有SSH访问权限的用户可以使用用户名 0 绕过ACL策略以 root 用户身份进行SSH访问。受影响对象依赖Tailscale ACL中 autogroup:nonroot 用户限制的Linux/Unix主机上的Tailscale SSH用户。应对措施若使用Tailscale SSH应将Tailscale升级到1.98.9或更高版本。致谢感谢Tim Hoffman (GM) 报告此问题。2026年6月3日TS - 2026 - 005描述Tailscale Serve的Unix套接字代理目标未限制为 root 用户允许非根操作员代理特权套接字。事件详情Tailscale Serve可以将传入连接代理到本地后端包括配置为 proxy 目标的Unix域套接字。配置为Tailscale操作员的非根本地用户可以通过LocalAPI编写Serve配置。现在Tailscale将Unix套接字代理目标限制为 root 用户。此漏洞已在Tailscale 1.98.9及更高版本中修复。影响范围配置为Tailscale操作员的非根用户可以使以 root 用户身份运行的 tailscaled 进程连接到他们原本无法访问的特权Unix套接字。受影响对象运行Tailscale Serve的Linux/Unix主机其中非根本地用户被配置为Tailscale操作员并且存在特权Unix套接字。应对措施若使用Tailscale Serve应将Tailscale升级到1.98.9或更高版本。致谢感谢Tim Sageser (dtrsecurity) 报告此问题。TS - 2026 - 004描述Tailscale SSH的Unix套接字转发未考虑符号链接权限允许访问特权套接字。事件详情Tailscale SSH支持在客户端和主机之间转发TCP和Unix套接字。此前Tailscale SSH在评估请求套接字的文件系统权限时仅对请求路径与允许列表和拒绝列表进行词法匹配。现在除了词法匹配外Tailscale SSH还会检查请求和配置路径中的符号链接并对其进行评估。此漏洞已在Tailscale 1.98.9及更高版本中修复。影响范围非特权用户可以访问远程主机上的特权Unix套接字。受影响对象依赖文件系统权限来限制对Unix套接字访问的共享Linux/Unix主机上的Tailscale SSH用户。应对措施若使用Tailscale SSH应将Tailscale升级到1.98.9或更高版本。致谢感谢Tim Sageser (dtrsecurity) 报告此问题。2026年5月29日TS - 2026 - 003描述OAuth访问令牌被记录在尾网审计日志中。事件详情Tailscale协调服务器会生成审计日志记录尾网配置的所有更改。一个漏洞导致它在描述OAuth客户端访问令牌创建的审计日志条目中记录了完整的OAuth客户端访问令牌。现在新的访问令牌在审计日志中以脱敏形式记录。影响范围具有审计日志访问权限的尾网管理员可以从日志中检索OAuth访问令牌并在令牌的一小时有效期内使用它们向Tailscale API发出授权请求。受影响对象所有在2026年3月1日至2026年5月29日期间使用OAuth客户端创建访问令牌的尾网均受影响。应对措施客户无需采取任何行动。访问令牌的最长有效期为一小时因此所有历史令牌已过期。致谢感谢Conor Power (Snapchat) 报告此问题。2026年5月13日TS - 2026 - 002描述Tailscale客户端Web界面存在ACL能力绕过漏洞。事件详情Tailscale客户端运行一个本地Web界面来管理其设置。该Web界面上的 /api/routes 端点允许更改活动出口节点和宣传的子网路由。处理程序存在一个漏洞当请求体为空时会将这两个设置重置为空状态。此漏洞已在Tailscale 1.98.0及更高版本中修复。影响范围恶意尾网节点可以禁用运行Web界面的其他尾网节点上的出口节点并清除宣传的子网路由。恶意用户需要进行登录检查并且通过尾网ACL被授予对目标节点端口 5252 的访问权限。受影响对象运行Tailscale版本在1.56.0至1.98.0之间且明确启用了Web界面的Linux、macOS和Windows节点。应对措施若使用Web界面管理远程节点应将这些节点更新到1.98.0或更高版本。致谢感谢N0zoM1z0报告此问题。2026年1月15日TS - 2026 - 001描述tssentineld中存在可执行任意命令的提权漏洞。事件详情tssentineld是一个launchd服务当macOS上的托管环境存在AlwaysOn.Enabled MDM策略时会安装该服务。该实现使用了NSTask和 /bin/sh -c sudo -u [username]并对用户名进行基本的字符串模板替换。攻击者可以通过直接访问用户名背后的内存或将当前用户名设置为恶意值利用此漏洞注入与 tssentineld 具有相同权限的命令。此漏洞已在Tailscale 1.94.0及更高版本中修复。影响范围能够操纵其用户名或 tssentineld 内存的恶意本地用户可以以 root 用户身份执行任意命令。受影响对象从1.84.0到1.92.3版本的macOS独立变体在通过MDM配置启用AlwaysOn.Enabled策略时受影响。从App Store获得的macOS软件包不支持安装launchd守护程序因此不受影响。应对措施若在独立的macOS客户端上使用AlwaysOn.Enabled策略应将其更新到1.94.0或更高版本。2025年11月19日TS - 2025 - 008描述未指定 --statedir 或 TS_STATE_DIR 的节点在启用尾网锁定的尾网中未能强制执行签名检查。事件详情在启用尾网锁定的尾网中运行 tailscaled 守护程序的未签名节点如果未指定 --statedir 或 --state将无法强制执行所需的签名检查。当启用尾网锁定时Tailscale节点只有在其节点密钥由受信任的签名节点签名后才能进行通信。TKA状态存储在磁盘上的状态目录中。在1.90.8之前这是唯一的存储选项。如果 tailscaled 在没有状态目录的情况下启动它将无法存储受信任签名节点的集合从而未能强制执行尾网锁定。影响范围目前没有迹象表明此问题在野外被利用。该漏洞允许两个或多个未签名且未设置状态目录的节点之间进行通信即使启用了尾网锁定。没有 --statedir 的未签名节点无法连接到有状态目录的节点。受影响对象当尾网中启用了尾网锁定至少有两个节点在没有 --statedir/--state 标志或 TS_STATE_DIR 环境变量的情况下运行 tailscaled 守护程序且至少有一个节点密钥未签名时此漏洞才会显现。此漏洞自引入尾网锁定以来就存在于所有Tailscale客户端中在1.90.8版本中已修复。应对措施若不使用尾网锁定则无需采取任何行动。若使用尾网锁定应审查运行 tailscaled 守护程序的所有节点的配置将所有运行 tailscaled 守护程序的节点升级到1.90.8或更高版本或通过相应方式设置状态目录。建议为所有节点设置状态目录以便它们可以将TKA存储在磁盘上。2025年11月7日TS - 2025 - 007描述一次性认证密钥可能被多个设备重复使用。事件详情由于存在时间检查/时间使用问题多个节点可以使用相同的一次性认证密钥进行注册。Tailscale协调服务器依赖数据库事务来确保一致性并防止竞态条件。此前如果两个注册请求同时到达它们都会在读取事务期间成功验证认证密钥并继续注册节点。现在修复了API处理程序使其在写事务阶段重新验证认证密钥。影响范围一次性认证密钥可以被多次使用来注册多个节点而不是仅用于一个节点。受影响对象通过自动化方式使用一次性认证密钥的尾网。所有节点都必须获得尾网的合法认证密钥。Tailscale审计日志没有足够的信息来检测这种竞态条件的发生。应对措施无需采取任何行动。自2025年11月7日起Tailscale已对协调服务器进行了修复。致谢感谢madisp报告此问题。2025年10月28日TS - 2025 - 006描述共享子网路由器节点在尾网之间可能存在访问控制逻辑问题。事件详情作为子网路由器并与其他尾网共享的Tailscale节点未在ACL中强制执行协议过滤。Tailscale控制平面执行网络映射修剪过程以确保只有相互授权访问的节点出现在各自的客户端中。此过滤存在一个漏洞导致为这些节点生成的ACL完全省略了IP协议号信息。这使得这些节点可以接受来自本地和外部尾网的任意协议连接。影响范围本地和外部尾网中已有权访问外部共享子网路由器的成员可能能够超出其授权访问范围通过任意协议与这些节点建立连接。目前没有迹象表明此问题在野外被利用。该漏洞仅影响有意共享给其他尾网的节点。受影响对象具有作为子网路由器且与外部尾网共享的节点并且这些节点的ACL依赖协议过滤的尾网。此漏洞自引入这些功能以来就存在于所有Tailscale客户端中于2025年10月29日通过Tailscale控制平面为所有客户端修复。应对措施无需采取任何行动。自2025年10月29日起Tailscale已对控制平面进行了修复。致谢感谢Thariq Shanavas报告此问题。2025年8月7日TS - 2025 - 005描述记录了MDM提供的认证密钥。事件详情Tailscale 1.84.0版本在macOS和iOS上的更改导致所有MDM提供的配置值被记录并上传到Tailscale日志服务器。其中一个可能的MDM值是用于自动注册节点的认证密钥。Tailscale 1.86.4版本在记录之前会对认证密钥和其他文本值进行脱敏处理。影响范围MDM提供的认证密钥被上传到Tailscale日志服务器但没有密钥泄露到Tailscale基础设施之外。通过CLI或环境变量提供的认证密钥从未被记录。影响取决于所使用的认证密钥类型。受影响对象使用MDM分发认证密钥且macOS和iOS客户端运行Tailscale版本在1.84.0至1.86.2之间的客户受影响。应对措施若不使用MDM向设备分发认证密钥则无需采取任何行动。若使用MDM分发认证密钥应将所有macOS和iOS节点升级到Tailscale 1.86.4或更高版本。此外若分发可重复使用的认证密钥或用于尾网锁定的预签名认证密钥建议轮换这些密钥。2025年5月27日TS - 2025 - 004描述尾网使用共享公共电子邮件提供商的问题。事件详情2025年5月22日Reddit社区的一个帖子促使解决处理共享公共电子邮件提供商域名的问题。通过默认启用用户批准功能降低了在以前未知的共享域名上创建新尾网时的风险。此问题仅影响一小部分用户群体。背景信息Tailscale用户通过其电子邮件地址域名映射到尾网。这种默认行为的缺点是如果用户的电子邮件地址来自共享域名多个不相关的用户可能会在未意识到其他用户存在的情况下加入同一个尾网。Tailscale在数据库中标记已知的共享域名。