oktsec
Revisión gratuita de flujosContactanos
Radar
Recibir alertas

Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.

Todos los avisosVulnerabilidad
Hablar con Oktsec
Tailscale

Kubernetes API server proxy

Actualizado 13 nov 2026
Revisar esta semanaAtaques no establecidos

Seguí las novedades de seguridad

Alertas prioritarias y resúmenes de Radar por correo.

Aviso de seguridad

A subnet host outside the tailnet could impersonate a tailnet node through a dedicated Kubernetes API proxy when routes and ACLs allow access. Tailscale 1.104.7 corrects the identity check; the operator’s in-process proxy is not affected.

Quiénes deben revisar: Teams using Tailscale’s dedicated Kubernetes API server proxy or standalone k8s-proxy with subnet access.

Acción recomendadaCorrección disponible

Update affected proxy deployments to Tailscale 1.104.7 or later. If subnet hosts could reach the proxy, review Kubernetes audit logs for unexpected impersonated identities.

Revisar sistemas afectadosArmar un plan de respuesta

¿Cuál es la vulnerabilidad y su impacto?

TS-2026-018 concerns Tailscale’s dedicated Kubernetes API proxy. When a caller had no Tailscale identity, a fallback accepted its X-Forwarded-For header. A reachable subnet host could therefore make Kubernetes requests under another tailnet node’s identity, potentially with cluster administrator access.

Applicability requires the dedicated kube-apiserver ProxyGroup or standalone k8s-proxy, acceptance of subnet routes, and an ACL grant allowing connections from hosts behind those routes. The operator’s in-process proxy is not affected. Enrolled clients authenticate with their actual source address and cannot trigger this fallback.

The November 12 release, 1.104.7, removes that header fallback. Update the affected proxy deployment. If subnet hosts could previously connect, Tailscale recommends reviewing Kubernetes audit logs for unexpected identities.

The vendor sources reviewed do not confirm exploitation in attacks. This record is separate from the Tailscale SSH and Serve issues covered in Tailworm.

Proveedor / autor
Tailscale
Acceso necesario
Depende de la aplicación o configuración
Divulgado
12 nov 2026
Última revisión de evidencia
13 nov 2026 UTC

¿Qué sistemas y versiones están afectados?

ProductoAfectadoVersión corregida / acción
Dedicated Kubernetes API server proxy or standalone k8s-proxyDeployments before 1.104.7 using a ProxyGroup with spec.type: kube-apiserver (or standalone k8s-proxy), accepting subnet routes with spec.tailscale.acceptRoutes: true and an ACL grant allowing hosts behind those routes to connect. The host exploiting this path has no Tailscale identity.Tailscale 1.104.7 or later in the affected proxy deployment. The operator’s in-process proxy is outside this issue; enrolled tailnet clients do not trigger the fallback.

Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.

¿Qué se sabe de la explotación?

Ataques observados

Ataques no establecidos

Fundamento de la prioridad

The vendor provides a correction for a configuration dependent identity bypass that could expose Kubernetes administrator privileges. The reviewed sources do not confirm attacks.

¿Qué implica para los entornos de IA?

Oktsec recommends including automation identities and Kubernetes service access in the review; the advisory does not establish AI involvement.

Fuentes de este aviso

Abrir evidencia de respaldo y registro técnico

Análisis relacionados

Tailworm: update Tailscale SSH and Serve to 1.104.4
Historial editorial1 entrada

Added TS-2026-018 with dedicated proxy prerequisites, the 1.104.7 correction and the vendor’s audit-log recommendation. This is distinct from the SSH Tailworm advisory; attacks are not established.

Acciones de respuesta

Prepará tu respuesta

0 de 3 acciones registradas como completadas

Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.

Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.

1. Evaluá si aplica a tu entorno

Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».

Evaluación de aplicabilidadSin evaluar

2. Registrá la respuesta

Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.

  1. Check proxy mode and subnet reachability

    Identify dedicated kube-apiserver ProxyGroups or standalone k8s-proxy deployments. Check acceptRoutes and ACL grants together; the operator’s in-process proxy is not affected.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  2. Update the affected proxy deployment

    Deploy Tailscale 1.104.7 or later and verify the running proxy version. Updating an unrelated tailnet client does not establish that this deployment is corrected.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  3. Review impersonated Kubernetes identities

    If hosts behind subnet routes could reach the proxy, follow Tailscale’s guidance to review Kubernetes audit logs for unexpected impersonated identities. Preserve relevant records for investigation.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

3. Compartí el plan

Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.

Este plan no se envía a Oktsec. Tu equipo declara los estados y la evidencia.

VERIFICÁ TU ENTORNO

Sistemas afectados y correcciones

Abrir plan de respuesta

Compará la versión en ejecución y la configuración con las indicaciones del proveedor.

ProductoAfectadoVersión corregida / acción
Dedicated Kubernetes API server proxy or standalone k8s-proxyDeployments before 1.104.7 using a ProxyGroup with spec.type: kube-apiserver (or standalone k8s-proxy), accepting subnet routes with spec.tailscale.acceptRoutes: true and an ACL grant allowing hosts behind those routes to connect. The host exploiting this path has no Tailscale identity.Tailscale 1.104.7 or later in the affected proxy deployment. The operator’s in-process proxy is outside this issue; enrolled tailnet clients do not trigger the fallback.

Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.

Acceso necesarioDepende de la aplicación o configuración
EVIDENCIA CON FUENTES

Evidencia y fuentes

Revisado 13 nov 2026 UTC

Por qué tiene esta prioridad

The vendor provides a correction for a configuration dependent identity bypass that could expose Kubernetes administrator privileges. The reviewed sources do not confirm attacks.

Criterios de prioridad

Fuentes

Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.

  1. Tailscale TS-2026-018: scope, identity bypass and correctionTailscale · Aviso del proveedor · Revisado 13 nov 2026 UTC
  2. Tailscale Kubernetes Operator 1.104.7 releaseTailscale · Aviso del proveedor · Revisado 13 nov 2026 UTC
Registro técnicoProductos, identificadores y detalles de respaldo
Registro del incidente
Producto / servicioKubernetes API server proxyTailscale
Evidencia de explotación
Ataques no establecidos
Acceso necesarioDepende de la aplicación o configuración
Corrección / respuesta
Corrección disponibleVersiones afectadas y correcciones
Divulgado
12 nov 2026
Registro revisado
13 nov 2026 UTC

Para entornos con agentes de IA

Oktsec recommends including automation identities and Kubernetes service access in the review; the advisory does not establish AI involvement.