# Headscale 0.29.7 i Tailscale 1.104.4 usuwają większość błędów z raportu Tailworm, sama poprawka serwera nie wystarczy Wydanie z 30 października 2026 r. naprawia też 12 błędów zgłoszonych przez skaner oss-scanner firmy Anthropic. Poprawki dla Tailscale SSH działają w oprogramowaniu na węzłach, a część ustaleń raportu nie ma wydanej poprawki. - Adres: - Rodzaj: Streszczenie - Data publikacji: 30.10.2026 - Kategoria: [Aktualności](https://pelnomocnikcyber.pl/kategorie/aktualnosci/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [Headscale](https://github.com/juanfont/headscale/releases/tag/v0.29.7) (30 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) Projekt Headscale, serwer sterujący dla sieci Tailscale uruchamiany we własnej infrastrukturze, wydał 30 października 2026 r. wersję 0.29.7 z poprawkami bezpieczeństwa. Twórcy zalecają jak najszybszą aktualizację do **Headscale 0.29.7 oraz Tailscale 1.104.4 lub nowszego**, szczególnie przy korzystaniu z Tailscale SSH. Piszą, że żaden błąd nie jest krytyczny, ale część może wywołać odmowę usługi w Headscale. Poprawki SSH działają w `tailscaled` na węzłach, więc aktualizacja samego serwera ich nie wprowadza. Wydanie odpowiada na dwa zgłoszenia. Raport Tailworm firmy Cyberdione Labs opisuje 11 ustaleń potwierdzonych w laboratorium na Tailscale 1.104.2 i Headscale 0.29.5. W Headscale chodzi o wyczerpanie pamięci i o 1024 małe rejestracje bez uwierzytelnienia, które wypierały oczekujące zatwierdzenia i blokowały dołączanie nowych urządzeń. Drugie zgłoszenie to 12 błędów z oss-scanner, usługi Anthropic, która nie publikuje swoich raportów. Headscale podaje tylko ich identyfikatory i listę zmian, między innymi limity rejestracji i zamykanie zawieszonych żądań po 30 sekundach. Tailscale opublikował cztery biuletyny, od TS-2026-014 do TS-2026-017. Według pierwszego przekierowanie gniazd uniksowych w Tailscale SSH działało z uprawnieniami roota, więc uwierzytelniony użytkownik z prawem przekierowania mógł dotrzeć do gniazda Dockera albo lokalnego API `tailscaled`. Pozostałe dotyczą wyczerpania pamięci w sesjach SSH oraz funkcji Serve, gdzie firma opisuje też możliwość pełnego przejęcia węzła. Tailscale pisze, że atak wymaga przejętego, uprawnionego urządzenia i reguły dopuszczającej SSH. Źródła różnią się w ocenie. Autorzy raportu zmierzyli w laboratorium automatyczne rozprzestrzenianie na każde urządzenie dopuszczone przez reguły, poniżej sekundy na przeskok. Tailscale odpowiada, że to ruch boczny ograniczony polityką sieci, a nie robak. Raport twierdzi też, że w Headscale 0.29.5 nie da się wyłączyć przekierowania. Twórcy Headscale wskazują ustawienie `TS_SSH_DISABLE_FORWARDING=1` w środowisku usługi `tailscaled` z restartem usługi. Działa ono na cały węzeł i także w starszych klientach. Według tabeli w raporcie osiem ustaleń ma wydaną poprawkę. Częściowa poprawka dla eksperymentalnych łączników Conn25 jest tylko w gałęzi głównej, a sprawdzanie uprawnienia Funnel i ustawienie `TS_SERVE_ALLOW_ALL_INTERFACES` zostają bez zmian. Tailscale pisze, że Conn25 nie został udostępniony, a dwa pozostałe punkty działają zgodnie z założeniami. ## Źródła - [Headscale: v0.29.7](https://github.com/juanfont/headscale/releases/tag/v0.29.7) - [Tailscale: Tailscale SSH: Findings and fixes](https://tailscale.com/blog/tailscale-ssh-findings-fixes) - [Tailscale: Security bulletins](https://tailscale.com/security-bulletins) - [Cyberdione Labs: Tailworm](https://tailworm.com/) - [Anthropic: OSS Scanner](https://github.com/anthropics/oss-scanner) ## Pojęcia w tym tekście - [Odmowa usługi](https://pelnomocnikcyber.pl/slownik/odmowa-uslugi/): Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 30 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.