目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2022-41925— Tailscale 跨站请求伪造漏洞

一分钟漏洞结论

影响对象
tailscale tailscale
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Tailscale是Tailscale开源的一款基于 WireGuard 的应用程序。可为任何规模的团队提供安全的专用网络。 Tailscale v1.32.3之前版本存在跨站请求伪造漏洞，该漏洞源于允许恶意网站访问对等API。攻击者利用该漏洞使用该API访问Tailscal环境变量。

AI 预测 7.5 利用难度: 中等 EPSS 0.57% · P47
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2022-41925 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Tailscale daemon is vulnerable to information disclosure via CSRF
来源: CVE Program / CVE List V5
Vulnerability Description
A vulnerability identified in the Tailscale client allows a malicious website to access the peer API, which can then be used to access Tailscale environment variables. In the Tailscale client, the peer API was vulnerable to DNS rebinding. This allowed an attacker-controlled website visited by the node to rebind DNS for the peer API to an attacker-controlled DNS server, and then making peer API requests in the client, including accessing the node’s Tailscale environment variables. An attacker with access to the peer API on a node could use that access to read the node’s environment variables, including any credentials or secrets stored in environment variables. This may include Tailscale authentication keys, which could then be used to add new nodes to the user’s tailnet. The peer API access could also be used to learn of other nodes in the tailnet or send files via Taildrop. All Tailscale clients prior to version v1.32.3 are affected. Upgrade to v1.32.3 or later to remediate the issue.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
跨站请求伪造(CSRF)
来源: CVE Program / CVE List V5
Vulnerability Title
Tailscale 跨站请求伪造漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Tailscale是Tailscale开源的一款基于 WireGuard 的应用程序。可为任何规模的团队提供安全的专用网络。 Tailscale v1.32.3之前版本存在跨站请求伪造漏洞，该漏洞源于允许恶意网站访问对等API。攻击者利用该漏洞使用该API访问Tailscal环境变量。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
tailscale tailscale < 1.32.3 -

二、漏洞 CVE-2022-41925 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2022-41925 的情报信息

请登录查看更多情报信息。

CVE-2022-41925 厂商安全公告 (1)

CVE-2022-41925 其他参考 (2)

IV. Related Vulnerabilities

Same product: tailscale
Same vendor: tailscale
Same weakness: CWE-352