Tailscale SSH Açıgı Kök Yetkisi Verdi

Tailscale, yerleşik SSH sunucusunda yer alan ve saldırganların diğer sunucularda yalnızca root kullanıcısının erişebileceği dosya ve servislere ulaşmasını sağlayan kritik güvenlik açıklarını yama ile kapattı. 28 Ekim 2026 tarihinde yayınlanan 1.104.4 sürümü, ağ içindeki yetkisiz yükseltme zincirlerini durdurmayı hedefliyor. Cyberdione Labs’ten Erica Windisch tarafından lab ortamında yapılan testlerde keşfedilen açıklar, ağ erişim kurallarının halihazırda izin verdiği bir oturumun kötüye kullanılabilmesine dayanıyor.

Bu güvenlik açıkları, Tailscale SSH’in ağ bağlantılarını yönlendirme biçiminden kaynaklanıyor. Normal şartlarda arka planda root yetkileriyle çalışan bu süreç, socket yönlendirme sırasında yolların kontrol edilmesine rağmen zamanlama hileleriyle manipüle edilebiliyordu. Windisch’in testlerinde, Docker kontrol socketine yapılan yönlendirmeler hiçbir yönetici hakkı gerektirmeden bir root kabuğu üretilmesini ve sistem parola dosyası olan /etc/shadow içeriğinin okunmasını sağladı. Şirket yayınladığı bültende bu erişimin Docker socketi ve tailscaled yerel API’si gibi kritik noktalarla sınırlı olduğunu doğruladı.

Tailscale 1.104.4 Sürümünde Hangi Açıklar Kapatıldı?

Yeni sürüm, güvenlik bültenlerinde listelenen dört farklı zafiyeti tek seferde adresliyor. Şirket, bu sürümle birlikte socket yönlendirmelerini root yerine oturum açan kullanıcı haklarıyla çalıştırmaya başlayarak işletim sisteminin dosya izinlerine güvenmeye başladı. Güvenlik bültenlerinde yer alan maddeler şu teknik parametrelerle özetleniyor:

Tabloda görülen TS-2026-015 numaralı açık, sunucunun belleğini tüketerek Tailscale sürecini çökertiyor ve o düğümdeki tüm ağ trafiğini kesiyor. TS-2026-016 ise tailscale serve bileşeninde socket takası yoluyla uzaktan kontrol riskini tetikliyor. Bu teknik detaylar, sistem yöneticilerinin yalnızca root yetkisi senaryosuna değil, bellek tabanlı servis dışı bırakma risklerine de karşı hazırlıklı olması gerektiğini gösteriyor.

Kendi Sunucusunu Kullananlar İçin Risk Ne Anlama Geliyor?

Sorunun boyutu, resmi Tailscale bulut altyapısı ile bağımsız kontrol sunucusu kullanan yapılar arasında farklılık gösteriyor. Açıkları raporlayan Windisch, self-hosted headscale kontrol sunucusu kullananların durumunun daha riskli olduğunu belirtiyor. Headscale altyapısında SSH yönlendirmesi kabul edilen her oturumda varsayılan olarak açık geliyor ve politika üzerinden kapatılamıyor. Ekim ayının ortasında yayınlanan 0.29.5 sürümü bile bu sorunları henüz gidermiş değil; bu nedenle headscale kullananların tüm SSH izinlerini root seviyesinde değerlendirmesi öneriliyor.

Açıkların solucan benzeri bir yayılma potansiyeli taşıyıp taşımadığı da tartışma konusu oldu. Windisch’in testlerinde, ele geçirilen tek bir cihazın politika dosyasının izin verdiği diğer tüm cihazlara parola veya çalınmış anahtar gerektirmeden saniyeler içinde sıçrayabildiği gözlemlendi. Tailscale ise bunu kendi kendine yayılan bir zararlı yazılım olarak nitelendirmeyip, politika dosyalarının zaten izin verdiği sınırlı bir yanal hareket olarak tanımladı.

Zafiyetin Çalışma Mekaniği ve Sınırları

Tailscale SSH mimarisi geleneksel parola veya SSH anahtarları yerine cihaz kimliği ve ağ politika dosyalarını esas alıyor. Bu tasarım tercihi, saldırganların harici kimlik bilgileri çalmasına gerek kalmadan, halihazırda yetkilendirilmiş bir uç noktaya sızarak işlem yapabilmesine zemin hazırlıyor. Sunucu tarafında Linux ve açık kaynaklı macOS derlemelerini etkileyen açık, istemci tarafında herhangi bir işletim sistemi kısıtlamasına takılmıyor.

Zafiyetin merkezinde yer alan zamanlama tabanlı socket değiştirme hilesi, Tailscale arka plan sürecinin güvenlik denetimini atlatmasını sağlıyor. Süreç, erişilmek istenen dosya yolunu doğruladıktan hemen sonra root haklarıyla bağlantıyı tamamladığı için, aradaki küçük zaman penceresinde Unix socket hedefi değiştirilebiliyor. Bu durum, işletim sisteminin dosya sistemi katmanındaki yetki sınırlarının süreç içi root yetkileriyle aşılmasına yol açıyor.

Kritik Zafiyete Karşı Ne Yapmalı?

Ağ güvenliğini tehlikeye atmak istemeyen yöneticilerin atması gereken ilk somut adım, altyapıyı ivedilikle 1.104.4 veya sonraki sürümlere yükseltmek. Sunucuyu hemen güncelleyemeyen ekipler için geçici bir çözüm de bulunuyor; tailscaled servis ortamında TS_SSH_DISABLE_FORWARDING=1 parametresini ayarlayıp servisi yeniden başlatmak, SSH servisini kapatmadan yönlendirme özelliklerini devre dışı bırakıyor.

Bununla birlikte, uzmanlar tek başına güncellemenin yetmeyebileceği durumlar konusunda uyarıyor. Şayet bir sunucu halihazırda ele geçirildiyse, cihazın anahtarı kontrol düzleminden silinene kadar geçerliliğini korumaya devam ediyor. Makineyi yeniden imajlamak bu anahtarı iptal etmiyor. Bu nedenle yöneticilerin SSH erişim kurallarını gözden geçirmesi, yalnızca gerçek anlamda ihtiyaç duyan cihazlara yetki vermesi ve hassas sistemler için oturum başlangıcında yeniden kimlik doğrulama gerektiren check mode özelliğini devreye alması gerekiyor.

Test edilen senaryolarda yayılımı durduran iki spesifik kontrol mekanizması öne çıkıyor. Erişim kurallarının birebir cihaz eşleşmeleri şeklinde yazılması ve cihaz anahtarlarının TPM gibi donanım bileşenlerine bağlanması, ele geçirilen kimliklerin başka noktalarda yeniden kullanılmasını engelliyor.