CVE-2022-41924 - يمكن استخدام Tailscaled لتنفيذ التعليمات البرمجية عن بُعد على Windows

توصيات TL ؛ الدكتور للأرقام من 1 إلى 6

التحديث إلى Tailscale v1.32.3 ، والذي تم إصداره اليوم. لاحظ أن Tailscale لا يتم تحديثه تلقائيًا. يمكن للمسؤولين رؤية الإصدار الحالي الذي يعمل على جميع الأجهزة في صفحة مشرف Tailscale.

تحديث بترتيب تنازلي حسب الأولوية: أجهزة Windows مع متصفحات الويب أجهزة أخرى مزودة بمتصفحات الويب آلات بدون متصفح ويب

راجع نشرات ومدونة Tailscale (TS-2022-004 و TS-2022-005).

للرقم 7

إذا كنت تشغل خدمات ويب بخلاف HTTPS على Tailnet ولم تتم مصادقة هذه الخدمات أو تعتمد على Tailscale للمصادقة ، فنفذ قائمة السماح برؤوس HTTP التي يُتوقع أن يمنع المضيف JavaScript الضار من الوصول هذه الخدمات.

يمكن اختبار هذا التخفيف باستخدام curl - إذا كان بإمكانك وضع شيء عشوائي في رأس المضيف ويمكنك عرض المعلومات أو اتخاذ إجراء لا ينبغي أن يكون متاحًا للجمهور ، يلزم اتخاذ إجراء:

يمكنك أيضًا استخدام دعم شهادة TLS المدمج في Tailscale لتشغيل الخدمات الداخلية باستخدام HTTPS (ومع تعطيل HTTP أو إعادة توجيهه إلى HTTPS) ، إما مباشرةً أو من خلال شيء مثل العلبة.

نشرت Tailscale نصائح حول تحري الخلل وإصلاحه لهذه المشكلة هنا. عالميا

استمر في استخدام Tailscale!