أبرز النقاط
- ثغرة في معالجة أسماء المستخدمين سمحت بتجاوز قوائم التحكم ACL والحصول على root
- الإصدار 1.98.9 يعالج هذه الثغرة وثغرة حجب خدمة أخرى في Serve وFunnel
- Anthropic وAda Logics اكتشفتا الثغرتين وأبلغتا Tailscale بشكل مسؤول
كشفت شركة Tailscale عن ثغرتين أمنيتين خطيرتين في منتجاتها، إحداهما تسمح لأي مستخدم يملك صلاحية SSH على عقدة Linux بالحصول على جلسة root كاملة — بمجرد الاتصال باسم مستخدم يبدأ بشرطة. الثغرة الثانية تتيح لأي جهة خارجية شن هجوم حجب خدمة يستنزف نواة معالج كاملة إلى الأبد. كلتا الثغرتين مُصححتان في الإصدار 1.98.9، والتحديث الفوري ضروري لكل من يستخدم Tailscale SSH أو Serve أو Funnel.
كيف يمنح حرف واحد صلاحيات root؟
المشكلة تكمن في طريقة تعامل Tailscale SSH مع أسماء المستخدمين على أنظمة Linux. كان النظام يقبل أسماء مستخدمين تبدأ بحرف الشرطة (-)، ثم يمررها مباشرة إلى الأمر getent لاسترجاع بيانات المستخدم من ملف passwd. هنا تحدث الكارثة: عندما يتصل مهاجم باسم المستخدم -i، يفسره getent على أنه العَلَم --no-idn، فيطبع محتوى ملف passwd بالكامل بدءاً من المستخدم root — وهذا يدفع Tailscale لفتح جلسة root تفاعلية للمهاجم.
من المتأثر بهذه الثغرة؟
الثغرة تؤثر تحديداً على من يستخدم Tailscale SSH على خوادم Linux ويعتمد على قيود autogroup:nonroot في قوائم التحكم ACL. بمعنى آخر: إذا كنت تثق بقوائم ACL لمنع مستخدمين معينين من الوصول إلى root، فهذه الثغرة تجعل تلك الثقة بلا قيمة — المهاجم يتجاوز السياسة بالكامل.
- أي مستخدم يملك صلاحية SSH على عقدة Linux عبر Tailscale
- الخوادم التي تعتمد على autogroup:nonroot للحماية
- جميع الإصدارات قبل 1.98.9
الثغرة الثانية: حجب خدمة لا ينتهي
إلى جانب ثغرة SSH، كشفت Tailscale عن ثغرة أخرى في خدمتي Serve وFunnel. عند إرسال طلب HTTP مُشوَّه لا يبدأ مساره بـ /، يدخل الخادم في حلقة لا نهائية تستهلك نواة معالج كاملة بنسبة 100% — ولأن الخادم لا يفرض حداً زمنياً للطلبات، تستمر هذه الحلقة إلى الأبد أو حتى إعادة تشغيل العملية.
الخطر هنا مضاعف: في حالة Tailscale Serve، يمكن لأي جهاز على شبكة tailnet الخاصة بك إرسال هذا الطلب. أما في Tailscale Funnel — وهذا الأخطر — يمكن لأي جهة على الإنترنت العام إرسال الطلب دون أي توثيق. بعدة طلبات متتالية، يمكن للمهاجم استنزاف جميع أنوية المعالج وإيقاف الخادم عن العمل.
لماذا تتكرر ثغرات argument injection؟
ثغرة الشرطة كعَلَم (dash-as-flag) من أقدم المشاكل في أنظمة Unix، لكنها تستمر في الظهور. السبب بسيط: المطورون ينسون أن أي مدخل من المستخدم قد يُفسَّر كعَلَم عند تمريره لأداة سطر الأوامر. الحل المعتاد هو استخدام -- لفصل الأعلام عن المدخلات، أو رفض المدخلات التي تبدأ بشرطة — وهو بالضبط ما فعلته Tailscale في التحديث.
رأي Logicity
هذه الثغرة تذكير مهم لمؤسسي الشركات الناشئة: الاعتماد على أدوات VPN حديثة مثل Tailscale لا يعني التخلي عن التدقيق الأمني الداخلي. Tailscale منتج ممتاز، لكن البدائل مثل Nebula (مفتوح المصدر من Slack) أو ZeroTier تستحق المقارنة — خاصة أن ZeroTier يقدم طبقة مجانية سخية للشركات الصغيرة. الأهم: لا تفترض أن قوائم ACL وحدها كافية للحماية، واختبر سيناريوهات الهجوم على مدخلات غير متوقعة.
ما الإجراء المطلوب الآن؟
- حدّث فوراً إلى الإصدار 1.98.9 أو أحدث
- راجع سجلات SSH بحثاً عن أسماء مستخدمين تبدأ بشرطة
- إذا كنت تستخدم Funnel، راجع سجلات طلبات HTTP المشبوهة
- أضف اختبارات أمنية لمدخلات غير تقليدية في أدواتك الداخلية
الأسئلة الشائعة
ما هي ثغرة Tailscale SSH وكيف تعمل؟
ثغرة تسمح للمهاجم بالحصول على صلاحيات root عبر الاتصال باسم مستخدم يبدأ بشرطة مثل -i، حيث يُفسَّر كعَلَم في أمر getent ويطبع ملف passwd بدءاً من root.
هل تؤثر الثغرة على جميع أنظمة التشغيل؟
ثغرة SSH تؤثر فقط على Linux، بينما ثغرة حجب الخدمة في Serve وFunnel تؤثر على جميع المنصات.
كيف أعرف إذا كنت متأثراً؟
إذا كنت تستخدم Tailscale SSH على Linux مع قيود autogroup:nonroot، أو تستخدم Serve/Funnel على أي إصدار قبل 1.98.9، فأنت متأثر.
من اكتشف هذه الثغرات؟
شركة Anthropic بالتعاون مع Ada Logics أبلغتا Tailscale بالثغرتين عبر الإفصاح المسؤول.
هل توجد بدائل آمنة لـ Tailscale؟
Nebula من Slack وZeroTier بدائل قوية، لكن جميع الأدوات تحتاج متابعة أمنية مستمرة — لا يوجد حل مثالي.
هل تحتاج مساعدة في التطبيق؟
إذا كنت تدير بنية تحتية تعتمد على Tailscale وتحتاج دعماً في تقييم الأثر الأمني أو التحديث، تواصل مع فريق Logicity للحصول على استشارة تقنية متخصصة.
فاطمة الزهراء
كاتبة تقنية متخصصة في الذكاء الاصطناعي
أُنتِج هذا المقال بمساعدة الذكاء الاصطناعي وراجعه فريق التحرير في لوجيسيتي. اعرف المزيد في سياسة التحرير.
